Composer不管理容器权限，只负责PHP包安装与加载；微服务应严格区分require与require-dev，生产镜像需用composer install --no-dev -o构建，私有包访问控制依赖repositories配置与auth.json凭证，权限控制发生在构建阶段而非运行时。
Composer 本身不管理容器权限，它只管 PHP 包的安装与加载；所谓“给容器分配依赖权限”是概念混淆，真正要解决的是：如何让不同微服务容器只装自己需要的包、不带多余依赖、且私有包访问可控。
composer.json 的 require vs require-dev 必须严格区分
微服务之间隔离性差，往往源于开发依赖被误打进生产镜像。比如 phpunit/phpunit 或 phpstan/phpstan 进入线上容器，不仅增大镜像体积，还可能暴露调试入口或未授权类自动加载路径。
- 所有运行时必需的包（如
slim/slim、guzzlehttp/guzzle）放require - 测试、静态分析、代码生成等工具一律进
require-dev - CI/CD 构建生产镜像时，必须用
composer install --no-dev -o，否则--no-dev漏掉会导致容器里多出几十个 dev-only 包 - 如果某个服务用了
symfony/console做 CLI 工具，但它不是 HTTP 服务，就得确认它是否真被 runtime 调用——否则应移入require-dev并在构建时排除
私有包访问控制靠 repositories + auth.json，不是靠容器
你无法通过 Docker Compose 或容器运行时去“授权某个容器访问某 Composer 包”，权限控制发生在 composer install 阶段：谁有凭证，谁才能拉取私有 Git 仓库或私有 Packagist 的包。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 私有包必须声明在
repositories字段中，类型为vcs或composer - 凭证统一写在项目根目录的
auth.json（不要提交），或挂载进 CI runner / 构建容器的$COMPOSER_HOME/auth.json - 错误做法：把 token 写死在
composer.json里，或用git clone手动替代composer require—— 这会绕过版本约束和自动加载注册 - 若使用 GitHub Packages，
auth.json格式必须是：{"github-oauth": {"github.com": "ghp_xxx..."}}，而非个人 Access Token 直接填在 URL 里
多服务共用逻辑？抽成独立包 + 版本锁死，别复制粘贴
当 user-service 和 order-service 都要用同一套 JWT 解析逻辑，最危险的做法是在两个 composer.json 里都 require 同一个本地路径或未发布分支。这会导致：
- 版本漂移：A 服务用
"myorg/jwt-util":"dev-main"，B 服务用"myorg/jwt-util":"v1.2"，实际行为不一致 - 安全补丁漏升级：修复了一个签名验证绕过漏洞，但只更新了其中一个服务的副本
- 正确做法：把公共逻辑打包为私有包，打 tag（如
v2.1.0），所有服务统一require固定版本 - 配合
composer.lock提交，确保composer install在任何环境还原完全一致的依赖树
真正容易被忽略的点是：依赖权限控制最终落在构建阶段，而不是运行时。你没法让一个已启动的 PHP 容器“突然失去对某个命名空间的访问权”，但你可以让它的镜像压根不包含那个包——靠的是 composer install --no-dev -o、干净的 auth.json 挂载、以及每个服务独立维护的 composer.lock。一旦在 CI 中跳过 lock 文件校验或复用上游镜像的 vendor 目录，整个权限边界就塌了。
