核心是依赖必须在构建阶段、用与生产一致的PHP环境安装，而非运行时拉取；需设国内镜像源、正确COPY顺序、多阶段构建、避免宿主机复制vendor，并严格加--no-dev --optimize-autoloader等参数。
在 Docker 中用 Composer，核心就一条：依赖必须在构建阶段、用和生产一致的 PHP 环境装好，而不是运行时临时拉包。否则必遇网络超时、权限拒绝、autoload 失效、镜像不可重现等问题。
docker build 里 RUN composer install 总卡住或失败
本质是网络 + 缓存 + 权限三重失效。国内直连 packagist.org 几乎必然失败，且构建过程不复用宿主机 ~/.composer/cache。
- 构建前必须设国内镜像源：
RUN COMPOSER_REPO_PACKAGIST=https://mirrors.aliyun.com/composer/ composer install -
COPY顺序不能错：先COPY composer.lock .，再COPY composer.json .，最后RUN composer install；否则会退化成update，破坏可重现性 - 别在
RUN composer install前COPY . /app——改一行代码就触发整个vendor重装，构建极慢 - Alpine 镜像需提前装证书：
RUN apk add --no-cache ca-certificates，否则报SSL certificate problem
容器里执行 composer require 或 update 报 Permission denied
这不是 Composer 本身的问题，而是挂载卷 UID/GID 不匹配导致写入失败。Mac/Windows 宿主机挂载的文件默认属主是 root:root（uid=0），但 PHP 容器常用用户是 www-data（uid=33）或 1001，vendor/ 和缓存目录根本写不进去。
- 启动容器时显式指定用户：
docker run -u $(id -u):$(id -g) -v $(pwd):/app -w /app php:8.2-cli composer require monolog/monolog - 若已生成
root属主的vendor/，进容器后先chown -R 1001:1001 vendor/（按实际 UID 调整） - 避免在容器内执行
composer update：它会改composer.lock，而该文件受 Git 管控，容器里改了也提交不了，下次构建就丢
Dockerfile 中安装 Composer 的安全写法
别用 apt-get install composer（Debian/Ubuntu 源版本太旧，不兼容 v2 lock 文件），也别用 curl | php 一键跳过校验——CI/CD 或生产镜像中属于明确风险点。
- 官方推荐校验安装：
RUN curl -sS https://getcomposer.org/installer -o composer-setup.php→RUN curl -sS https://getcomposer.org/installer.sig -o composer-setup.php.sig→RUN php -r "if (hash_file('sha384', 'composer-setup.php') !== trim(file_get_contents('composer-setup.php.sig'))) { exit(1); }"→RUN php composer-setup.php --install-dir=/usr/local/bin --filename=composer - PHP 基础镜像要带
curl和unzip（比如php:8.2-cli-slim不自带，得自己apt-get install -y curl unzip） - 多阶段构建更干净：第一阶段用完整环境装依赖，第二阶段只复制
vendor/和代码，不带composer命令、不装curl/unzip
为什么不能在宿主机运行 composer install 后直接复制 vendor 到容器？
因为 vendor/autoload.php 和 vendor/composer/installed.json 强绑定目标 PHP 环境——宿主机 PHP 版本、扩展（如 ext-mbstring、ext-pdo_mysql）、甚至 opcache.enable 状态，都会影响类映射和平台配置。直接复制会导致容器内运行时报 Class not found 或 Extension missing。
- 构建阶段必须用和最终运行镜像**完全一致**的 PHP 镜像（包括主版本、SAPI 类型、关键扩展），例如运行镜像是
php:8.2-fpm，构建就得用php:8.2-cli（同源） -
composer install必须加--no-dev --no-scripts --optimize-autoloader，缺一不可；--ignore-platform-reqs是危险开关，仅限临时调试，绝不能出现在生产Dockerfile中 - 如果用了私有包，
auth.json必须在构建阶段 COPY 进去，且不能暴露在最终镜像里（多阶段构建天然隔离）
最易被忽略的一点：多阶段构建中，第一阶段的 WORKDIR 和第二阶段的 COPY --from=builder 路径必须对齐，否则 autoload.php 里的相对路径会断掉——这类问题不会报错，但运行时 class loading 就静默失败。
