生产环境必须加--no-dev，否则phpunit等dev包必然装入vendor导致体积膨胀30%～70%、autoload冲突及Class not found错误；它跳过require-dev声明、不注册autoload-dev路径、不执行dev钩子，但保留传递依赖。
为什么生产环境必须加 --no-dev
不加 --no-dev，phpunit、phpstan、roave/security-advisories 这类包就会物理存在于 vendor/ 目录里——不是“可能被加载”，而是“一定被装进去”。体积多出 30%～70%，autoload 映射膨胀，还常触发 Class 'PhpCsFixer\Finder' not found 这种运行时错误：你根本没调用它，只是它的 autoload 规则进了 autoload_static.php，PHP 尝试解析未用到的类路径时就崩了。
关键点在于：--no-dev 不是“少装几个包”，而是跳过整个 require-dev 声明块，不安装顶层 dev 包、不注册 autoload-dev 路径、不执行 post-autoload-dump 等钩子。但它不会剔除这些包的传递依赖——比如 monolog 依赖 sebastian/exporter，那它仍会保留。
- 必须确保
composer.lock已存在且稳定；否则composer install --no-dev会退化为composer update --no-dev，重新解析依赖，更慢更不可控 -
require-dev里不能混入运行时必需的包（如旧版symfony/debug或某些 SDK 的调试驱动） - 检查代码里是否手动
require了tests/或src/DevTools/下的文件——这类路径若在autoload-dev里，加了--no-dev就直接报错
--optimize-autoloader 和 --classmap-authoritative 怎么配合 --no-dev
--optimize-autoloader 不是“让加载快一点”，而是把所有 PSR-4 类路径预编译成扁平数组，写进 vendor/composer/autoload_classmap.php。单次类加载耗时从 0.8–2.1ms 降到 0.03–0.07ms。但它只对 PSR-0/PSR-4 有效，不影响 files 类型自动加载。
--classmap-authoritative 是策略切换，不是加速开关：它告诉 autoloader “classmap 里没有的类就一定不存在”，彻底关闭文件系统扫描 fallback。一旦开了，class_exists('Foo' . $suffix) 这类动态拼名会直接失败，而不是尝试 PSR-4 扫描。
- 必须配合
--no-dev使用，否则classmap里会混入测试类，白白膨胀文件 - 验证是否生效：删掉某个类文件后执行
class_exists()，如果立刻报Class not found而不是静默失败或 fallback 查找，说明classmap已接管 - 生成的
autoload_classmap.php大小应比开发环境小 30% 以上；差得不多，说明autoload-dev路径泄露进了主 autoload 块
Docker 和 CI/CD 中漏掉 --no-dev 的典型表现
本地能跑通，线上炸锅，90% 是因为 CI 脚本用了 composer install 而非 composer install --no-dev。这不是兼容性问题，是物理层面缺失：dev 包根本没装，它的类文件压根不存在于 vendor/ 里。
现象：Laravel 报 Class AppProvidersTestHelperServiceProvider not found，但该类明明在 app/Providers/ 下——其实是这个服务提供者只在某个 require-dev 包中注册，而那个包没装。
- 部署后立刻执行
ls -la vendor/phpunit，如果目录存在，说明--no-dev没生效 - CI 流水线中还需检查
COMPOSER_NO_DEV环境变量是否被设为0或空字符串（它会覆盖命令行参数） - 验证
composer.lock中packages-dev字段是否为空（非必须，但可作为部署前校验项）
精简 vendor 目录不能只靠 --no-dev
--no-dev 只跳过顶层 dev 包，不会清理包内部的 tests/、.git/、docs/ 等目录，也不会剔除它们的 autoload 映射。手动 rm -rf vendor/*/tests 极危险：旧版 monolog/monolog 把 Handler 示例放 tests/ 下且未在 autoload 中声明，删完直接 Class not found。
安全做法是在 composer.json 的 config 块加 "archive": {"excludes": ["/tests/", "/docs/", "/examples/", "/.github/"]}，再跑 composer install --no-dev --prefer-dist，解压时直接跳过。
-
--prefer-dist强制走 zip 包而非 git clone，避免带入.git/和未裁剪的源码树；对私有包无效，除非你明确配置了dist字段 - 推荐清理命令（Linux/macOS）：
rm -rf vendor/bin vendor/composer/installed.json；vendor/bin/全删，除非你真需要phinx或doctrineCLI 在线上运行 -
vendor/**/.git、vendor/**/.github、vendor/**/phpunit.xml暴露元数据和 CI 配置，可能辅助攻击者判断组件版本
composer install --no-dev --optimize-autoloader --prefer-dist --classmap-authoritative。少一个，要么体积不减，要么类加载失败，要么暴露调试入口——这四个不是“优化选项”，是互锁生效的最小安全集。 
