必须用 composer install --no-dev --optimize-autoloader --prefer-dist，因默认命令会安装 require-dev 包（如 PHPUnit），引发安全风险、体积膨胀、autoload 冲突；--no-dev 跳过开发依赖，--optimize-autoloader 生成类映射提升加载速度，--prefer-dist 加速下载。
生产环境执行 composer install 必须跳过开发依赖、禁用交互、启用类映射优化，否则可能引入安全风险、性能瓶颈或部署不一致。
为什么不能直接运行 composer install？
默认命令会安装 require-dev 下所有包（如 PHPUnit、phpstan、larastan），这些工具在生产环境毫无用途，反而带来三重风险：
- 暴露调试接口或未授权的 Web 路由（例如某些包自带的调试面板）
- 增大
vendor/体积，延长部署时间、增加镜像大小 - 意外加载 dev-only 的自动加载规则，干扰 PSR-4 映射逻辑
另外，未加 --no-interaction 可能卡在用户确认环节，导致 CI/CD 流水线挂起；未加 --prefer-dist 则可能回退到慢速的 Git clone 模式。
composer install --no-dev --optimize-autoloader --prefer-dist 各参数作用
这条组合命令是生产环境的最小安全集，每个参数不可省略：
-
--no-dev：跳过composer.json中require-dev节点的所有依赖，实测可减少 50%+ 文件数量 -
--optimize-autoloader（简写-o）：生成vendor/composer/autoload_classmap.php，将类名直连文件路径，避免运行时遍历目录 -
--prefer-dist：强制使用 Packagist 提供的压缩包（.zip/.tar.gz），比从 Git 拉源码快 2–5 倍，且更稳定
注意：--optimize-autoloader 单独使用效果有限，必须配合 --no-dev 才能真正剔除 dev 类的映射条目。
CI/CD 中必须验证 composer.lock 是否生效
只加参数不够，还要确保依赖版本被锁定。常见疏漏包括：
- CI 脚本里没检查
composer.lock是否存在或是否比composer.json新 —— 可加composer validate --strict验证完整性 - 误在 CI 中执行
composer update—— 这会生成新lock文件，破坏可重现性 - 未确认
vendor/确实不含 dev 包 —— 可用composer show --installed --no-dev | wc -l统计安装数，与预期比对
如果项目用了私有仓库或自定义 repositories，还需确保 CI 环境已配置对应认证（如 GitHub token、GitLab CI 变量），否则 install 会静默失败或降级到 public 源。
Docker 构建中额外要加 --classmap-authoritative
在容器化部署中，推荐叠加该参数：
-
--classmap-authoritative：告诉自动加载器“所有类都在 classmap 里”，彻底跳过文件系统扫描，类加载速度再提 30–50% - 它依赖
--optimize-autoloader生成的映射，所以必须一起用 - 但该选项不兼容动态生成类（如某些 AOP 或 mock 工具），因此仅限纯生产镜像，不要用于本地开发容器
完整 Dockerfile 片段示例：
FROM php:8.2-cli COPY composer.json composer.lock ./ RUN composer install --no-dev --optimize-autoloader --prefer-dist --classmap-authoritative --no-progress
注意：若项目含大量 PSR-0 或全局函数，--classmap-authoritative 可能导致部分类无法加载，需先本地验证 php -r "require 'vendor/autoload.php';" 是否报错。
