必须加--no-dev，否则vendor中一定存在phpunit、phpstan等dev包；Composer默认全量还原composer.lock中的packages和packages-dev，不识别APP_ENV或环境变量，仅依赖命令参数控制。
必须加 --no-dev，否则 vendor 里一定有 phpunit、phpstan 这类包——这不是警告，是确定性结果。
为什么 composer install 默认会装开发依赖
Composer 不区分“当前环境”，它只认 composer.lock 文件里的两块：packages（require）和 packages-dev（require-dev）。默认行为是全量还原 lock 文件内容。哪怕你设了 APP_ENV=production 或 COMPOSER_NO_DEV=1，只要没在命令里写 --no-dev，它就照装不误。
常见错误现象：
- 部署后
ls vendor/ | grep phpunit有输出 - CI 构建镜像体积比预期大 30–50MB
- 线上报
Class 'TestsFooTest' not found，但其实是因为 autoload-dev 路径还在，而类文件根本没被安装
composer install --no-dev 的真实作用边界
它只跳过安装，不删 autoload 配置、不改 lock 文件、不清理已存在的 vendor 内容。
实操建议：
- 必须搭配
rm -rf vendor/使用，否则旧的 dev 包可能残留（Docker 构建尤其容易缓存错层） - 加
--optimize-autoloader和--no-scripts，避免执行本地测试钩子或生成冗余映射 - 不要依赖
composer dump-autoload --no-dev来“补救”——它只影响 autoloader 生成逻辑，不解决包已存在 vendor 里的问题 -
composer show是唯一可信验证方式：运行后列表里不该出现任何phpunit/、friendsofphp/php-cs-fixer等
为什么加了 --no-dev 还是装了 dev 包
根本原因不是参数失效，而是 composer.lock 文件本身已被污染。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
典型场景：
- 本地开发时执行过
composer update（没带--no-dev），lock 文件里已写入packages-dev区块 - CI 流水线中先跑
composer install再跑composer install --no-dev，后者不会自动清理前者装的包 - 用
rsync或cp -r vendor/直接同步到生产机，完全绕过 Composer 解析流程
修复方式只有一种：在干净环境（无 vendor/、无 composer.lock）下，先运行 composer update --no-dev --lock，再提交新 lock 文件。
--no-dev 和 conflict 不是一个层级的事
--no-dev 是部署阶段的开关，conflict 是依赖解析前的硬拦截。前者管“装不装”，后者管“能不能进 lock”。
如果你的目标是彻底阻止某个包出现在生产环境（比如某 SDK 强依赖 ext-xdebug），仅靠 --no-dev 不够——得在 composer.json 根级加：
"conflict": {
"xdebug/xdebug": "*"
}
注意：conflict 会中断整个 composer update，不是静默跳过；且对间接依赖无效，只拦最终进入 lock 的包。
真正容易被忽略的点：autoload-dev 映射依然存在，只要 composer.json 里还写着 "Tests\": "tests/"，class_exists('TestsFooTest') 就可能返回 true，哪怕 tests/ 目录根本不存在——这不是 bug，是设计如此。
