根本原因是代码存在硬依赖或autoload配置越界；require-dev包虽被--no-dev跳过安装，但若在autoload中错误映射测试路径（如tests）或业务代码中无条件调用phpunit类，运行时仍会因路径缺失或类不存在而崩溃。
require-dev 里的包，上线后为啥还会被加载？
根本原因不是 Composer 没跳过安装，而是你代码里写了硬依赖，或者 autoload 配置越界了。比如 composer install --no-dev 确实不会把 phpunit/phpunit 解压进 vendor/，但如果你在生产代码里写了 new PHPUnitFrameworkTestCase()，或在 autoload 字段里错误映射了测试类路径，PHP 运行时一找就崩——不是“找不到类”，是“目录根本不存在”，连 autoloader 都没机会触发。
检查 autoload 是否越界：别在 autoload 里写 dev 路径
autoload 是生产环境也生效的，autoload-dev 才是仅开发模式注册的隔离层。常见错误是把测试工具类路径直接塞进 autoload：
- ❌ 错误：
"autoload": {"psr-4": {"Tests\": "tests/"}}—— 上线后自动加载器仍会尝试加载tests/下的类，而--no-dev并不删tests/目录，但万一它真被引用，就会因路径缺失或权限问题出错 - ✅ 正确：
"autoload-dev": {"psr-4": {"Tests\": "tests/"}}—— 这个配置只在composer install（无--no-dev）时才被读取和注册 - 运行
composer dump-autoload --no-dev后，检查vendor/composer/autoload_psr4.php里是否还存在Tests\的映射；如果还有，说明你写错位置了
代码里怎么安全调用 dev-only 类？
不能假设类一定存在，必须运行时检测。尤其要避开框架服务提供者里无条件 new 实例、或配置文件中直接 new 对象的写法。
- 用
class_exists()判断再执行逻辑：if (class_exists('PHPUnitFrameworkTestCase')) { /* 测试专用逻辑 */ } - 避免在全局作用域或配置加载阶段调用 dev 类；把它们封装进可选命令、CLI 工具类或调试中间件里，并用环境变量兜底：
if ($_ENV['APP_ENV'] === 'local' && class_exists('SymfonyComponentVarDumperVarDumper')) { ... } - Laravel 用户注意：别在
AppServiceProvider::register()里无条件绑定BarryvdhDebugbarFacade；应改用when()或环境判断
CI/CD 脚本里漏掉 --no-dev 的真实后果
这不是“多装几十 MB”那么简单。最隐蔽的问题是：某些 require-dev 包（如 pcov、xdebug）会强制依赖 PHP 扩展，而线上环境通常没装。一旦 composer install 没加 --no-dev，它会在解析依赖时直接报错退出，导致部署中断。
- 生产部署命令必须固化为：
composer install --no-dev --optimize-autoloader --classmap-authoritative - CI 测试阶段可以装 dev 包，但要用
--prefer-dist加速下载，且绝对不要用composer update—— 它会改composer.lock，破坏本地与线上的依赖一致性 - 上线前加一道检查：
composer show --installed --no-dev | grep -E '(phpunit|php-cs-fixer|debugbar)'，输出为空才安全
真正容易被忽略的是 autoload-dev 和 --no-dev 的配合机制：它不靠“删配置”来隔离，而是靠“不注册 + 不解压”双保险。只要你在 autoload 里混入一行 dev 路径，或在业务代码里漏掉 class_exists 判断，整个隔离就失效了。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
