使用 composer install --no-dev 可排除开发依赖，减小 vendor 目录、降低安全风险、加快加载速度，并防止调试工具暴露敏感信息，符合生产环境最佳实践。

在生产环境部署 PHP 项目时，运行 composer install --no-dev 是一个关键步骤。它确保了应用以最安全、最高效的方式加载依赖，避免引入仅用于开发的组件。

减少不必要的依赖包

开发环境中，项目通常会引入一些辅助工具，比如测试框架（PHPUnit）、代码质量检查工具（PHPStan、Psalm）、调试器（Symfony VarDumper）等。这些工具对开发很有帮助，但在生产环境中完全不需要。

使用 --no-dev 参数后，Composer 不会安装 require-dev 中列出的包，从而：

• 减小 vendor 目录体积
• 降低潜在的安全风险（更少的代码 = 更小的攻击面）
• 加快自动加载速度（类映射更精简）

提升安全性

某些开发依赖可能包含敏感功能，例如：

Academic Composer Upload

辅助学术写作，包括查找资料、生成大纲、引用扩写及润色风格，同时确保引用规范。

下载

• 调试工具可能暴露服务器信息或变量内容
• 测试工具可能提供未授权的执行入口
• 分析工具可能读取源码或配置文件

如果这些工具被意外部署到线上并被利用，可能导致信息泄露甚至远程代码执行。通过 --no-dev 排除它们，是从源头上切断这类风险的有效手段。

符合最佳实践和自动化部署规范

大多数 CI/CD 流程和部署脚本都会明确区分开发与生产环境的构建命令。例如：

<font face="monospace">
# 开发环境或构建测试镜像
composer install
<h1>生产环境部署</h1><p>composer install --no-dev --optimize-autoloader
</font>

搭配 --optimize-autoloader 使用，还能进一步提升性能，使类自动加载更快。

基本上就这些。坚持在生产环境使用 composer install --no-dev，是保障应用稳定、安全、高效运行的基本要求，不复杂但容易忽略。