composer.lock 文件越变越大是因为它存储了每个包的完整元数据（如 checksum、commit hash、require-dev 列表、archive 排除规则等），尤其在包多、私有库多、dev 工具长期未清理时，易超 10MB；PHP 解析大 JSON 耗时显著，拖慢 install 流程。
composer.lock 文件为什么越变越大
它不只是记录版本号，还存了每个包的完整元数据：dist checksum、source commit hash、require-dev 列表、archive 排除规则等。当项目有 200+ 包、大量私有库、长期未清理的 dev 工具时，composer.lock 很容易膨胀到 10MB 以上。PHP 解析一个 12MB 的 JSON 文件，光 json_decode() 就可能吃掉 300–500ms CPU 时间，再加上依赖图重建，整个 composer install 就卡在 “Loading composer repositories” 或 “Resolving dependencies” 阶段不动。
删掉没用的 require-dev 包能直接减重
很多人以为加了 --no-dev 就万事大吉，其实不是：dev 包不安装，但它们的元数据仍完整写进 composer.lock，照样参与解析。旧版 phpstan/phpstan、废弃的 phpunit/phpunit、测试辅助工具（如 orchestra/testbench 的老版本）都属于“锁文件隐形增肥剂”。
- 运行
composer show --dev查出当前声明的 dev 包 - 逐个确认是否还在 CI/本地测试中实际使用
- 用
composer remove --dev vendor/package彻底移除，别只注释掉composer.json - 再执行
composer update --lock，它会压缩 JSON 结构、合并重复字段
私有包必须配 "archive": {"exclude": [...]}
没配这个，Composer 会为 /tests、/docs、/examples 等目录生成哈希并记入 composer.lock——这些路径根本不会被加载，却白白占了几 KB 每包，积少成多就是几 MB。
在私有包的 composer.json 中加：
"archive": {
"exclude": ["/tests", "/Tests", "/docs", "/Examples", "/.github", "/.gitignore"]
}
然后在主项目里跑一次 composer update vendor/private-package --with-dependencies，再 composer update --lock，你会发现 composer.lock 缩水 15–40%。
定期运行 composer update --lock 不是可选操作
这个命令不改任何依赖版本，只做三件事：重排 JSON 键顺序、去重冗余字段、删除已下线包残留的 dist URL 和 hash。很多团队误以为“lock 文件没变就不用动”，结果几年下来，composer.lock 里塞满了 Packagist 已删除包的元数据，每次解析都要白跑一遍 fallback 逻辑。
- 建议 CI 流水线在 install 前加一步：
composer update --lock --no-interaction - 本地开发可设 Git hook，在
pre-commit自动触发（需判断是否修改过composer.json） - 注意：它不会删掉你手动加的 repositories 配置，也不影响平台约束
真正难处理的是 lock 文件里混着多个分支的 commit hash 和不一致的 dist URLs，这种问题没法靠单条命令修复，得先清 vendor/ 和 composer.lock，再从头 composer install ——但那是另一个问题了。
