真正锁定 require-dev 包需同时满足：版本号写死为完整三位（如"10.5.4"）、composer.lock 提交至 Git、部署时使用 composer install --no-dev；缺一不可。
require-dev 里的包必须写死版本号才能真正锁定
仅靠把包放进 require-dev 区块，不等于它就被锁住了。Composer 对 require-dev 里的包和 require 里一样，只认你写的版本字符串是否精确——"phpunit/phpunit": "^10.5" 这种写法，下次 composer update 仍会升到 10.5.9 或 10.6.0（只要语义化兼容）。
真正锁定的写法只有这一种："phpunit/phpunit": "10.5.4"（三位完整号、无符号、无空格、无 v 前缀）。写成 "10.5" 或 "10.5.*" 都不行，不同 Composer 版本解析行为不一致。
- 改完
composer.json后，必须运行composer update phpunit/phpunit（指定包名），否则composer.lock不更新，install还是装旧版 -
require-dev包也会被写进composer.lock的packages-dev字段，部署时若加了--no-dev，它们不会装，但锁文件里依然存在记录——这是正常且必要的 - 某些工具包（如
laravel/pint、phpstan/phpstan）常被误配在require下，导致生产环境也加载；务必确认它们只在require-dev里
部署时用 --no-dev 才能彻底排除测试库
composer install 默认会装 require 和 require-dev 两部分，除非你明确告诉它不要。光靠“只在 dev 环境跑”不保险，CI 或上线脚本一旦漏掉参数，测试库就进了生产目录。
生产部署唯一安全命令是：composer install --no-dev --no-interaction --no-progress --optimize-autoloader。其中 --no-dev 是硬性开关，它会让 Composer 完全忽略 require-dev 里的所有包，连它们的 autoload 规则都不注册。
-
--no-dev不影响composer.lock内容，只是安装时跳过packages-dev字段 - 如果本地没提交
composer.lock，composer install --no-dev会退化为composer update --no-dev，可能拉新版本——所以 lock 文件必须进 Git - 某些包（如
symfony/var-dumper）在 dev 模式下注册全局函数（dump()），上线后残留会导致Function already defined错误，--no-dev能从根上避免
CI/CD 中验证 dev 包是否真被排除
光写对命令不够，得验证结果。CI 流水线末尾加一行检查，能快速暴露配置遗漏：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
composer show | grep -E '^(phpunit|phpstan|pint|pest)' || echo "OK: no dev tools found in installed packages"
更稳妥的做法是检查 vendor/autoload.php 是否包含 dev 包的 autoload 配置：
grep -A5 'phpunit' vendor/autoload.php | head -n10
- 如果输出为空，说明
--no-dev生效；如果有内容，说明要么参数漏了，要么composer.lock里混进了 dev 包的生产依赖路径 - CI 构建前先跑
composer validate --strict，它会报错提醒composer.lock和composer.json不一致，避免因未提交 lock 导致行为漂移 - 别依赖
"minimum-stability": "stable"来“过滤”dev 包——它只控制版本选择策略，不影响安装范围
临时跳过某个 dev 包更新，别动 lock 文件
调试期间想固定 phpunit 版本但又不想永久锁定？别删 require-dev 或手动改 composer.lock，那容易出错。用命令级绕过更干净：
比如只想升级其他 dev 包，但跳过 phpunit：
composer update --with-dependencies --ignore=phpunit/phpunit
或者更明确地指定范围：
composer update phpstan/phpstan php-cs-fixer/php-cs-fixer --ignore=phpunit/phpunit
-
--ignore只作用于当前命令，不影响composer.lock，也不改变composer.json - 它比
composer require phpunit/phpunit:10.5.4更轻量，适合临时场景 - 注意：如果该包被其他依赖强制要求更高版本，
--ignore可能触发冲突，此时需先composer why-not phpunit/phpunit:10.5.4查原因
composer.lock 提交进 Git、部署时加 --no-dev。漏掉任意一环，都可能让 phpunit 的某个 patch 版本悄悄溜进生产环境。 
