Docker构建中vendor目录被污染，根本原因是直接COPY宿主机vendor导致autoload.php硬编码路径失效，且挂载全局composer缓存可能混用dist包；必须每次在容器内执行composer install并禁用共享vendor或cache。
容器本身不自动隔离 Composer 依赖，必须配合明确的构建策略和目录控制，否则 vendor/ 仍会跨项目污染、autoload.php 映射错乱、composer.lock 失效。
为什么 Docker 构建中 vendor 目录还会被污染
Docker 构建时若直接 COPY . /app 后没在容器内执行 composer install，就会复用宿主机的 vendor/ —— 而它生成的 autoload_static.php 是硬编码路径，一旦部署路径不同（如从 /var/www 变成 /app），类就加载失败。更隐蔽的是：如果构建镜像时挂载了 ~/.composer/cache 卷，不同项目的 dist 包缓存可能混用，导致安装了错误版本。
- 禁止在
Dockerfile中COPY vendor/或使用COMPOSER_VENDOR_DIR环境变量指向共享路径 - 每层构建必须干净：基础镜像不带任何
vendor，每次RUN composer install都在全新容器上下文中执行 - 缓存只靠 Composer 自身的
dist包哈希复用（默认开启），不要手动挂载全局 cache 目录
多项目共存时如何避免 autoload 冲突
多个 PHP 应用跑在同一台宿主机或同一 Docker Compose 网络里，若都用了默认 vendor/ 路径且 Web 服务器 root 指向错误，Nginx 就可能把 A 项目的 index.php 和 B 项目的 vendor/autoload.php 拼在一起加载，结果是 Class not found 或方法不存在。
- 每个项目必须有独立的
composer.json和vendor/目录，不能通过软链接或COMPOSER_VENDOR_DIR共享 - Nginx 的
root必须严格指向各项目自己的public/（不是父级/var/www） - 子项目（如 Git subtree）需显式设
"vendor-dir": "lib/my-subtree/vendor"，并在autoload中用psr-4显式声明命名空间，不能依赖自动发现
CI/CD 流水线中怎么写安全的 composer install 命令
流水线里最常踩的坑是：用轻量 PHP 镜像（如 php:8.0-cli）跑 composer install，但项目 composer.json 声明了 "platform": {"php": "8.1.10"}，直接报错 Your platform does not match the declared platform config —— 这时不能无脑加 --ignore-platform-reqs，否则锁文件会被污染。
- 推荐用
--config-platform.php=8.1.10 --config-platform.ext-gd=1动态覆盖平台声明，不影响composer.lock - 生产构建必须加：
--no-dev --optimize-autoloader --classmap-authoritative --no-interaction --prefer-dist - 安装后立即清理：
RUN rm -rf vendor/bin/ vendor/**/tests/ vendor/**/.git vendor/composer/installed.json - 验证命令：
grep -q "'classmap-authoritative' => true" vendor/autoload.php && [ -s vendor/composer/autoload_classmap.php ]
为什么 --no-dev 不等于“开发依赖已清除”
--no-dev 只跳过安装 require-dev 里的包，但 composer.lock 里仍保留 packages-dev 记录，autoload_dev.php 文件也可能残留——某些部署工具（如 Box 打 PHAR）会误加载它，导致运行时出现 Class not found。
- CI 测试阶段用完整安装（含 dev），部署阶段才切
--no-dev - Dockerfile 中必须显式写全参数：
RUN composer install --no-dev --optimize-autoloader --no-scripts，不依赖环境变量 - PHAR 打包或容器部署后，手动检查并删除
vendor/composer/autoload_dev.php - 验证是否真正隔离：
composer show --dev应返回No dependencies installed for development
真正难的不是命令怎么写，而是每次构建都得确保 composer.lock 与代码分支一致、vendor/ 目录不跨项目复用、autoload.php 的路径映射不被缓存误导——这些细节漏掉一个，线上就可能静默失败。
