根本原因在于 Composer 不区分开发与生产依赖的安装逻辑，仅依据环境变量和 composer.json 中 require/require-dev 分区决定安装内容；线上必须用 --no-dev --optimize-autoloader，且需提交 composer.lock 保证一致性。
为什么 composer install 有时装出不同版本？
根本原因在于 Composer 不区分「开发依赖」和「生产依赖」的安装行为，只看当前环境变量和 composer.json 中的 require 与 require-dev 分区。如果你在 CI 或线上服务器执行 composer install 时没加 --no-dev，就会把 require-dev 里的包（比如 phpunit/phpunit、mockery/mockery）也装进去，不仅增大部署体积，还可能引入非预期的 autoloader 冲突或安全风险。
实操建议：
- 线上部署必须加
--no-dev --optimize-autoloader，这是硬性动作，不能靠文档提醒 - CI 流水线里明确区分阶段：测试阶段用
composer install（默认含 dev），构建产物阶段用composer install --no-dev --optimize-autoloader - 检查
composer.lock文件是否提交——它决定了所有环境安装的一致性；没提交就等于没锁住版本
require-dev 里能放运行时需要的包吗？
技术上可以，但逻辑上不该。比如把 symfony/var-dumper 放进 require-dev，本地调试没问题，但一旦上线后触发异常且未捕获，而错误页又依赖它做变量渲染，就会直接报 Class not found。这类包本质是「条件性运行时依赖」，不是纯开发工具。
判断标准：
- 该包是否在
autoload或autoload-dev中被引用？如果主代码里use了它，就该进require - 是否被
bin/下的脚本直接调用？比如自定义命令行工具依赖guzzlehttp/guzzle，那它就是运行时依赖 - 有没有可能被生产环境的某条执行路径间接加载？例如日志处理器、事件监听器、中间件中 new 了它的类
如何安全地升级 require-dev 中的工具链？
升级 phpunit 或 psalm 这类工具，常导致测试失败或静态分析报错激增，但问题往往不出在代码本身，而是工具对 PHP 版本、语法糖或扩展的支持变化。比如 phpunit/phpunit:^10 要求 PHP 8.1+，而你项目还在跑 8.0，composer update 表面成功，实际 vendor/bin/phpunit 启动就报 ParseError。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
推荐做法：
- 先查目标版本的 官方支持矩阵，确认 PHP 和扩展兼容性
- 用
composer update phpunit/phpunit --with-all-dependencies避免子依赖被意外降级 - 升级后立刻运行
./vendor/bin/phpunit --dry-run，验证解析无误再跑全量测试 - 把工具版本约束写死在
require-dev，如"phpunit/phpunit": "10.5.2"，避免自动漂移到不兼容小版本
composer.json 的 config.platform 怎么影响分层？
这个配置会强制 Composer 在解析依赖时“假装”运行环境具备某些平台扩展或 PHP 版本，但它对 require 和 require-dev 一视同仁。常见陷阱是：你在本地开发机装了 ext-redis，但线上没有，于是加了 "platform": {"ext-redis": "5.3.7"} 想绕过安装检测——结果 require-dev 里某个依赖（比如 laravel/pint）恰好也声明了 ext-redis 为可选扩展，Composer 就会把它当作已满足条件，进而拉取本不该装的 Redis 相关 polyfill 或 adapter。
更稳妥的做法：
-
config.platform只用于锁定 PHP 版本（如"php": "8.1.10"），避免因本地 PHP 小版本差异导致依赖解析不同 - 扩展缺失问题交由部署流程解决：用 Docker 容器统一环境，或用 Ansible 确保 ext 安装到位
- 若必须模拟扩展，优先用
config.platform.ignore（Composer 2.2+）排除特定扩展检测，而不是伪造版本号
分层管理真正的难点不在语法，而在每次修改 composer.json 时，要同步判断这个包到底属于哪一层、会被谁加载、在什么条件下生效。漏掉一次判断，就可能让一个开发工具变成线上故障的导火索。
