require-dev用于声明开发依赖，如phpunit、php-cs-fixer等，仅在开发或CI环境使用，生产部署时应通过composer install --no-dev --optimize-autoloader跳过这些包，以减小体积、提升性能与安全性；需注意依赖嵌套问题，避免主依赖间接引入dev组件，建议结合dump-autoload优化加载，确保生产环境依赖纯净。
Composer 提供了灵活的依赖管理机制，其中 require-dev 用于声明仅在开发阶段需要的包，比如测试工具、代码分析器等。在生产环境部署时，合理处理这些开发依赖可以减少体积、提升性能并降低安全风险。
理解 require-dev 的作用范围
require-dev 中列出的包不会影响应用运行时功能，它们通常包括：
- phpunit/phpunit（单元测试）
- friendsofphp/php-cs-fixer（代码格式化）
- phpstan/phpstan（静态分析）
这些工具只在本地开发或 CI 环境中使用，生产环境不需要。
安装时跳过 dev 依赖
在生产环境中执行安装命令时，应使用 --no-dev 参数：
composer install --no-dev --optimize-autoloader- --no-dev：不安装 require-dev 中的包及其子依赖
- --optimize-autoloader：优化自动加载性能，适合生产环境
这样能确保生成的 vendor 目录最小化，避免不必要的文件和潜在的安全隐患。
构建流程中的最佳实践
推荐在构建或部署流程中明确区分环境依赖处理：
- 开发/CI 阶段使用完整安装：
composer install - 打包或发布到生产前执行：
composer install --no-dev --optimize-autoloader - 配合 composer dump-autoload --classmap-authoritative 可进一步提升性能
某些 PaaS 平台默认会跳过 dev 依赖，但仍建议显式指定参数以保证一致性。
注意依赖嵌套问题
即使使用 --no-dev，如果主依赖（require）间接引入了本应在 dev 中的组件（如某些包把 phpunit 错误地放在 require），仍可能被安装。需定期检查依赖树：
composer update --dry-run发现问题时可通过审查上游包或使用 replace 等手段干预。
基本上就这些。只要在生产部署时坚持使用 --no-dev，并结合优化选项，就能有效控制依赖范围和运行环境纯净度。
