生产环境必须用 composer install --no-dev --optimize-autoloader，否则会因误装 phpunit、phpstan 等 dev 包导致体积膨胀 30%～70%、运行时错误、内存溢出及启动变慢；--no-dev 仅跳过 require-dev 顶层包，不剔除其传递依赖，需配合最新 composer.lock、Dockerfile 正确顺序及 CI 校验确保生效。
生产环境必须用 composer install --no-dev --optimize-autoloader，否则 vendor 体积多出 30%～70%，还可能因 dev 包触发运行时错误。
为什么 composer install 默认装了 dev 依赖
因为 composer.json 里没加 --no-dev，Composer 就按开发场景处理：它会读 require-dev 里的包（比如 phpunit、phpstan、roave/security-advisories），连带加载 autoload-dev 配置。哪怕你只是部署一个 API，也会把测试工具一起拉进 vendor/。
常见错误现象：
-
Class 'PhpCsFixer\Finder' not found—— 明明没写相关代码，却因误装friendsofphp/php-cs-fixer被 autoload 触发 - 线上内存溢出或启动变慢 ——
roave/security-advisories这类 dev-only 包在生产流程中被意外加载 - Docker 构建后镜像体积暴涨 ——
vendor/多出几十 MB，突破 AWS Lambda 250MB 解压限制
composer install --no-dev 的真实行为边界
它只跳过 require-dev 声明的顶层包，但不会过滤这些包的传递依赖 —— 比如你 require-dev 里有 phpunit，而 phpunit 依赖 sebastian/exporter，那这个 sebastian/exporter 不会被自动剔除；但如果 sebastian/exporter 同时被某个生产包（如 monolog）依赖，它仍会保留。
所以关键不是“删掉所有 dev 相关”，而是“不主动引入 dev 专属包”。要确认是否干净，可以：
- 运行
grep -q '"require-dev"' composer.lock && echo "warning: dev section exists" || echo "clean" - 执行
composer show --dev—— 如果报错There are no packages required in development，说明当前 lock 已生效隔离 - 检查
vendor/下是否存在phpunit/、phpstan/等目录，存在即未生效
CI/CD 和 Docker 中必须配合的三个动作
光加 --no-dev 不够，漏掉任一环节都可能让精简失效：
- 在
composer install前，确保composer.lock是最新且不含 dev 冗余 —— 推荐上线构建前跑一次composer update --no-dev -o强制刷新 lock 文件中非 dev 部分 - Dockerfile 中必须先
COPY composer.json composer.lock ./，再立刻RUN composer install --no-dev --optimize-autoloader；中间不能插入composer update或其他污染步骤 - 加
--optimize-autoloader（即-o）是硬性要求：否则即使跳过了 dev 包，自动加载器仍会扫描整个vendor/目录，性能损失明显
容易被忽略的陷阱：git 切分支后直接 composer install --no-dev
如果上个分支的 composer.lock 里还存着旧的 require-dev 记录，而你切到新分支后没更新 lock，Composer 在 --no-dev 模式下仍会基于旧 lock 解析依赖 —— 可能导致版本漂移、意外回退，甚至装出本不该存在的 dev 包。
这不是参数失效，而是 lock 文件“脏”了。最稳妥的做法是：
- 每次上线构建前，统一执行
composer update --no-dev -o，而非仅靠install - 在 CI 脚本开头加校验：
! grep -q 'phpunit\|phpstan' composer.lock || (echo "lock contains dev packages, aborting"; exit 1) - 如果项目用了
config.platform（比如模拟 PHP 8.1），它不影响--no-dev是否跳过 dev 包，但会影响哪些包能被选中 —— 所以平台配置也得和生产环境一致
