--no-interaction 是 CI/CD 的生死线，因 Composer 默认在缺失依赖、权限异常或凭证不足时等待用户输入，而 CI 环境无交互能力，必卡死或超时失败；必须显式添加且不可被环境变量替代。
CI/CD 中必须用 composer install --no-interaction，不是“加个参数就行”，而是整个流程的起点——没它，脚本大概率卡死或失败。
为什么 --no-interaction 是 CI 的生死线
Composer 默认会在缺失依赖、权限异常、auth 凭证不足等场景下暂停并等待用户输入。CI 环境没有终端交互能力，一旦触发，进程就挂住，超时后被平台强制杀掉，日志里只留一行 Killed 或空转 60 分钟后失败。
这不是 bug，是设计使然。本地开发可以敲回车跳过，CI 不行。
- 所有 CI 脚本开头必须显式加
--no-interaction，不能靠环境变量COMPOSER_NO_INTERACTION=1代替（部分旧版 Composer 对该变量支持不一致） - 它必须和
--prefer-dist配合：避免从 Git 克隆源码（慢、不稳定、可能触发 SSH 认证），优先下载预编译 zip 包 - 单独加
--no-interaction不够，还得配--no-progress：禁用下载进度条，防止 ANSI 控制字符污染日志、干扰后续解析
composer install 在 CI 中的最小安全参数集
光“无头”不够，还得确保装得对、装得稳、装得快。以下参数组合是生产级 CI 的底线配置：
Workflow Decomposer
下载
工作流任务拆解与模型编排技能。使用场景：(1) 收到复杂工作任务需要拆解为可执行步骤，(2) 需要为不同步骤选择最合适的模型，(3) 需要跟踪工作流进度和模型使用情况，(4) 长时间任务卡住需要问题诊断和解决方案。
-
--no-dev：跳过require-dev里的包（如phpunit、phpstan）。不是为了省几秒，而是防止测试工具混入部署包，带来未审计的远程调用风险 -
--optimize-autoloader：生成扁平化 classmap，避免运行时遍历目录；Laravel/Symfony 项目实测 autoload 性能提升 30%+ -
--classmap-authoritative：告诉 autoloader “classmap 之外绝对没类”，彻底跳过文件系统扫描；配合上一条，是生产环境必须项 -
--no-scripts（谨慎使用）：跳过post-install-cmd等钩子。CI 中多数钩子（如清缓存、生成代理）应由明确步骤控制，而非隐式触发，避免侧信道干扰
完整命令示例：composer install --no-interaction --no-progress --prefer-dist --no-dev --optimize-autoloader --classmap-authoritative
CI 中最常踩的三个内存与缓存坑
即使参数全对，环境配置不对照样崩。三类高频问题直接对应三类报错：
-
Killed或PHP Fatal error: Allowed memory size exhausted：不是 PHP 的memory_limit没调大，而是 Composer 自身内存管理在解析大型依赖图时峰值爆掉。必须在composer install前设export COMPOSER_MEMORY_LIMIT=-1（禁用限制）或export COMPOSER_MEMORY_LIMIT=2G - vendor 缓存失效 / autoload 错乱：不要缓存
vendor/目录本身。不同 PHP 版本、扩展（如 opcache）、甚至不同构建时间戳，都会导致生成的 autoload 文件不兼容。应只缓存~/.composer/cache（zip 包和 dist 归档） - 私有包拉取 401：CI 无法弹出 GitHub/GitLab Token 输入框。不能把
auth.json提交进仓库，也不能在脚本里 echo 写死。正确做法是用 CI 平台的 secret 注入机制，在运行时动态生成auth.json并设COMPOSER_AUTH环境变量
如何验证 CI 中的安装真的成功了
跑完 composer install 不代表万事大吉。有些错误静默发生，比如部分包因网络抖动没下全，但 Composer 不报错，autoload.php 却漏了关键类。
- 检查是否按
composer.lock完整安装：composer show --installed --no-dev | wc -l，对比本地已知数量，偏差超过 ±2 就要告警 - 验证 autoloader 可加载：
php -r "require 'vendor/autoload.php'; echo 'OK';"。这行代码必须放在 install 步骤之后、测试步骤之前 - 确认 lock 文件未被意外修改：CI 开头加
composer validate --strict，它会校验composer.json和composer.lock是否匹配，以及 lock 文件格式是否合法
真正难的不是写对那条命令，而是让每条命令都在不同 CI 平台、不同 PHP 版本、不同网络条件下稳定产出一致结果——这需要把内存、缓存、凭证、验证全链路钉死，缺一不可。
