生产环境严禁运行composer install，必须在构建阶段完成依赖安装并整体同步代码包，否则将引发权限错误、环境漂移和敏感信息泄露三类严重问题。
生产环境不能直接运行 composer install，必须在构建机（CI/CD 或本地）完成依赖安装、清理和打包，再整体同步到目标服务器——这是避免权限错误、环境漂移和敏感信息泄露的硬性前提。
为什么生产机上跑 composer install 必然出问题
看似省事，实则触发三类不可控故障：
-
file_put_contents(./composer.json): failed to open stream: Permission denied：不是 Composer 报错，是 web 用户（如www-data）对vendor/或composer.lock没写权限，排查耗时远超预估 -
Your platform does not meet the requirements：本地 PHP 8.2，线上还是 8.1，platform-check直接中断部署 - Nginx 配置稍有疏漏（如未禁用
.env），攻击者几秒就能下载到数据库密码、API 密钥
composer install 必须带的四个参数
它们互锁生效，漏一个就可能让服务响应变慢、偶发 500 或 CI 卡住：
-
--no-dev：跳过require-dev中所有包（如phpunit、symfony/debug-bundle），否则它们会进autoload.php，拖慢类加载 + 暴露调试入口 -
--optimize-autoloader（或简写-o）：生成vendor/composer/autoload_classmap.php，把类名直连文件路径，单次类加载从平均 1.2ms 降到 0.05ms；不加它，高并发下 autoload 就是 I/O 瓶颈 -
--classmap-authoritative：替代已废弃的--optimize，强制 autoloader 只查 classmap，不 fallback 到文件扫描——性能更高，但要求所有类必须被收录进 map（PSR-4/0 自动覆盖，files类型需手动确认） -
--no-interaction（或简写-n）：防止遇到平台提示（如“Do you want to store credentials for github.com?”）卡住 CI，尤其 Docker 构建时直接超时失败
装完还得删：vendor/ 里哪些东西必须清理
composer install --no-dev --optimize-autoloader 是底线，但光靠它远远不够。真正该删的是这些：
立即学习“PHP免费学习笔记（深入）”；
-
vendor/bin/——全部删除（除非你明确需要某个二进制如phinx在线上运行） -
vendor/**/tests/、vendor/**/Tests/、vendor/**/test/、vendor/**/Test/ vendor/**/{.git,.gitignore,.travis.yml,phpunit.xml,phpstan.neon,psalm.xml}-
vendor/**/docs/、vendor/**/examples/、vendor/**/demo/ -
vendor/composer/installed.json——含完整包版本与哈希，泄露可辅助攻击者判断组件漏洞
Linux/macOS 下可用：find vendor -path '*/tests' -o -path '*/.git' -o -name 'phpunit.xml' -delete 快速清理；CI/CD 中建议用 rm -rf 显式声明，避免依赖 glob 模糊匹配漏删。
部署后必须验证，不能只信命令行输出
命令跑完不代表成功——得进服务器或容器里看真实结果。常见误判是看到 vendor/autoload.php 还在，就以为一切正常。
- 执行：
ls vendor/ | grep -E "phpunit|mockery|symfony\/debug"，输出应为空 - 运行：
composer show --dev，应提示 “No dependencies installed for development” 或直接报错 “Command 'show' is not defined” - 检查
vendor/composer/autoload_static.php或autoload_classmap.php，确认里面没有来自tests/或Tests/的路径映射（否则说明autoload-dev规则仍被加载） - Nginx 必须显式禁止访问：
location ~ /\.(env|json|lock|git|hg|svn)$ { deny all; }、location ^~ /vendor/ { return 403; }、location = /composer.json { return 403; }
最易被忽略的一点：--classmap-authoritative 要求所有类必须出现在 classmap 中；如果项目用了 "files": ["src/helpers.php"] 这类手动加载项，又没在 composer dump-autoload --classmap-authoritative 后重新生成，上线后就会报 Class not found——这种错误不会在构建阶段暴露，只在首次请求时发生。
