生产环境部署必须加--no-dev、--optimize-autoloader、--no-interaction、--no-scripts四个参数，缺一不可：--no-dev跳过开发依赖及传递依赖，--optimize-autoloader生成类映射提升加载性能，--no-interaction避免交互卡住，--no-scripts禁用钩子防止中断安装。
生产环境部署脚本里必须加哪些参数
不加参数的 composer install 在生产机上大概率失败或变慢。它默认装 require-dev、执行脚本、等待交互、走 PSR-4 动态加载——这些在生产环境全是冗余甚至危险行为。
-
--no-dev：跳过所有开发依赖及其传递依赖（如phpunit/phpunit、larastan/larastan），这是底线，不是可选项 -
--optimize-autoloader（或-o）：生成vendor/composer/autoload_classmap.php，避免运行时反复file_exists()扫描，性能提升明显 -
--no-interaction（或-n）：防止卡在私有包认证、license 确认等交互提示上 -
--no-scripts：禁用post-install-cmd等钩子，避免因缺失git、node或权限问题中断安装
这四个参数缺一不可。漏掉 --no-dev 可能导致线上误装 barryvdh/laravel-debugbar；漏掉 --optimize-autoloader 会让 autoload 效率退回到开发模式。
为什么不能只靠环境变量或配置文件控制
有人试图用 COMPOSER_NO_INTERACTION=1 或在 composer.json 里写 "config": {"no-interaction": true}，但这些在部署脚本里基本无效——Composer 的 CLI 参数优先级高于环境变量和配置项，且部分参数（如 --no-dev）根本无法通过 config 设置。
-
composer config --global只影响全局行为，不作用于单次命令；部署脚本应显式声明参数，不依赖外部状态 -
minimum-stability或platform配置宽泛（比如"php": "^7.4 || ^8.0 || ^8.1 || ^8.2"）会导致Resolving dependencies卡住几十秒，跟镜像无关，必须改composer.json -
composer.lock文件本身若含 dev 包记录（比如上次是composer update无--no-dev生成的），那--no-dev在install阶段会被忽略——得先用composer update --no-dev --lock重生成 lock 文件并提交
Docker 构建和 CI 脚本里的典型写法
多阶段构建中，第一阶段安装依赖的标准命令长这样：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
RUN composer install --no-dev --no-scripts --no-interaction --optimize-autoloader --no-progress
其中 --no-progress 是可选但推荐的，避免输出大量进度条干扰日志解析；CI 脚本里还应加上 --ignore-platform-reqs 吗？不建议——它会绕过 PHP 版本、扩展检查，掩盖真实兼容问题，真要跳过，应在 composer.json 的 platform 字段里明确定义。
- 不要在 Dockerfile 中写
RUN composer update，破坏可复现性；所有依赖变更必须本地composer update --no-dev --lock后提交composer.lock - 如果项目确实需要某条 post-install 脚本（比如清缓存），别让它混在
--no-scripts里，而是拆出来单独执行：&& composer run-script deploy:post-install --no-dev - 私有包认证不能靠
auth.json明文提交，要用 Docker--secret挂载或 CI 的加密变量注入，再通过composer config --global http-basic动态配置
容易被忽略的权限和路径细节
部署后 post-install-cmd 报 Permission denied 不是 Composer 的锅，而是用户权限没对齐。常见场景：Web 服务器用 www-data 运行，但部署脚本用 root 或其他用户执行 composer install，导致 storage/、bootstrap/cache/ 目录属主不一致。
- 部署脚本末尾务必补一句
chown -R www-data:www-data storage/ bootstrap/cache/（Laravel 场景）或对应目录 -
vendor/目录不该进 Git，但composer.lock必须提交——它是唯一能保证composer install结果完全一致的依据 - 路径写死在
scripts里（如"php ./artisan cache:clear"）不如用"@php artisan cache:clear"，后者由 Composer 自动解析bin-dir，更健壮
真正卡住部署的，往往不是网络或镜像，而是参数没写全、lock 文件不合规、权限没同步这三件事。每一条都得在上线前人工验证一次，而不是靠“应该没问题”蒙混过关。
