composer install --no-dev 不能完全隔离 dev 依赖，因 autoload-dev 路径仍可能被主 autoload 加载、post-install-cmd 等脚本照常执行、vendor/bin 二进制残留、lock 文件含 dev 包、本地 config 污染及 PHP 8.2+ never 类型隐式泄漏。
为什么 composer install --no-dev 不能完全隔离 dev 依赖？
因为 autoload-dev 里的类路径仍可能被主 autoload 加载，尤其当包作者把测试工具类（如 PHPUnit\Framework\TestCase）写进 autoload 而非仅 autoload-dev 时，即使不安装 require-dev，类文件仍存在并可能被意外加载。更隐蔽的是，某些包的 post-install-cmd 或 post-autoload-dump 脚本在 --no-dev 下仍会执行——只要脚本定义在根 composer.json 的 scripts 里，就与是否安装 dev 依赖无关。
如何确保生产环境彻底不含 dev 依赖的代码和配置？
关键不是“不装”，而是“不加载、不暴露、不执行”。必须组合三步：
- 用
composer install --no-dev --optimize-autoloader --classmap-authoritative：前者跳过require-dev，后两者强制生成扁平 classmap 并禁用动态查找，杜绝autoload-dev路径被 runtime 扫描到 - 删除
vendor/bin目录（或构建时排除）：很多 dev 工具（如phpunit、phpcs）的二进制文件即使没安装也会残留，若 web server 错误地暴露该目录，等于直接泄露工具入口 - 检查
composer.lock中packages-dev是否为空：CI 打包前加一行grep -q '"packages-dev":\[\]' composer.lock || (echo "dev packages found in lockfile" && exit 1)，防止因缓存或本地误操作导致 lock 文件残留 dev 包记录
CI/CD 打包时怎么避免本地 composer.json 配置污染？
本地开发常为方便启用了 config.platform 或自定义 repositories，这些会影响依赖解析结果，但不应进入生产包。必须显式重置：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 打包命令开头加
COMPOSER_HOME=$(pwd)/.composer-compat composer config --global --unset github-oauth.github.com，清掉全局 token（否则可能触发私有包拉取） - 使用
composer install --no-dev --ignore-platform-reqs仅当明确需要绕过 PHP 版本约束；否则应删掉config.platform字段，或用composer install --no-dev --no-scripts防止本地 hooks 干扰 - 镜像源必须锁定：CI 中设
COMPOSER_REPO_PACKAGIST=https://packagist.org，禁用任何自定义 repo，避免因镜像同步延迟导致不同环境装到不同版本
PHP 8.2+ 的 never 类型提示会让 dev 依赖泄漏更难察觉
比如某 dev-only trait 里用了 never，而主业务代码错误继承了它——这在 --no-dev 环境下不会报错（trait 文件未加载），但一旦上线后某个路径偶然触发 autoloader 查找（例如通过反射或错误的 class_exists()），就会 fatal。这类问题只在真实流量中浮现。所以必须：
- 静态扫描：用
phpstan配合--configuration=phpstan.neon（其中includes显式排除tests/和vendor/bin/） - 运行时加固：在生产
index.php开头加if (defined('PHPUNIT_TEST') || defined('PHPCS')) { http_response_code(500); exit; }，拦截常见 dev 工具的常量泄漏 - 禁止
composer dump-autoload在生产执行：它的输出会覆盖 classmap，且默认不带--classmap-authoritative，可能重新打开 dev 路径扫描
多环境隔离不是靠一个 flag 实现的，是 autoload 机制、lock 文件状态、CI 变量作用域、甚至 PHP 版本特性共同作用的结果。漏掉任意一环，dev 依赖都可能以类、常量、二进制或脚本形式悄悄混进生产包。
