路径仓库（type: "path"）不能用于生产环境打包，因其仅参与 composer update 阶段解析，不会写入 composer.lock，导致 install 时失效或 vendor 内容不完整。
路径仓库（type: "path"）不能直接用于生产环境打包，否则会因路径失效导致 composer install 失败或 vendor 内容不完整。
为什么 composer install 在生产环境会忽略或报错 path 仓库
Composer 的 install 命令在读取 composer.lock 时，只保留了包的最终安装来源信息（如 dist URL、SHA256），而 repositories.type: "path" 是纯本地开发配置，不会被写入 lock 文件——它只参与 update 阶段的包解析。一旦你用含 path 仓库的配置执行过 composer update，lock 文件里记录的仍是远程包信息（比如 Packagist 上的版本），而非本地路径。
常见错误现象：
-
composer install成功但vendor/your-vendor/your-package是空目录或内容不对 - 执行
composer show your-vendor/your-package显示版本与本地路径中实际代码不一致 - CI 构建机上因路径不存在（如
../my-local-package）直接报Source directory ... does not exist
本地开发用 path，上线前必须切换为真实发布源
路径仓库只是开发阶段的“快捷方式”，不是部署方案。上线前需确保该包已发布到可访问的正式源（如私有 Git 仓库、Satis、Private Packagist 或 Packagist），并更新项目依赖指向它。
操作步骤：
- 将本地包推送到企业 Git 服务（如
git@your-git.com:org/my-package.git），打 tag（如v1.2.0） - 在主项目
composer.json中移除repositories下的path条目，改用vcs类型仓库：{ "type": "vcs", "url": "git@your-git.com:org/my-package.git" } - 运行
composer update your-vendor/my-package --with-dependencies，让 lock 文件记录真实 Git 仓库 + commit hash - 确认
composer.lock中对应包的source.type是"git"，且source.reference是有效 commit ID
CI/CD 流水线中如何安全处理 path 仓库残留
很多团队把开发用的 composer.json 直接扔进 CI，结果构建失败或装错包。关键是要隔离开发配置与构建配置。
推荐做法：
- 在
.gitignore中忽略composer.json的临时修改，或使用composer.json.dist作为生产基准文件 - CI 脚本开头加检查：
grep -q '"type":"path"' composer.json && echo "ERROR: path repo detected" && exit 1 - 使用
COMPOSER=composer.json.prod composer install指定构建专用配置文件，其中不含任何path仓库 - 若必须保留本地调试能力，可用环境变量控制：
"repositories": [{"type": "path", "url": "../my-local-package"}], "config": {"platform-check": false}，但构建时通过COMPOSER_NO_INTERACTION=1和 clean env 确保不生效
最易被忽略的一点：即使你没在 composer.json 里写 path，某些 Composer 插件（如 hirak/prestissimo 旧版）或全局 config 也可能注入临时仓库配置。上线前务必用 composer config --list | grep repository 检查实际生效的仓库列表。
