使用composer install --no-dev可减少依赖体积、提升安全性与性能，避免将PHPUnit等开发工具部署到线上，防止敏感信息泄露和远程代码执行风险；结合--optimize-autoloader和--class-map-authoritative可进一步优化类加载效率，确保生产环境轻量、安全、一致。
在生产环境部署 PHP 项目时，运行 composer install --no-dev 是一个关键步骤。它确保了应用以最安全、最高效的方式加载依赖，避免引入不必要的开发工具和测试代码。
减少生产环境的依赖体积
开发环境中，我们通常会安装一些辅助工具，比如 PHPUnit、PHPStan、PsySH、Laravel Telescope 等。这些包定义在 require-dev 中，仅用于本地调试和测试。
使用 --no-dev 参数后，Composer 不会安装这些开发依赖，从而：
- 减小 vendor 目录体积，节省磁盘空间
- 加快部署速度，减少文件传输量
- 降低因多余文件带来的潜在风险
提升应用安全性
生产环境中不应存在任何调试或开发工具。某些 dev 依赖可能包含：
- 暴露调试信息的组件（如错误追踪器）
- 允许代码执行的交互式 Shell
- 未充分验证输入的测试接口
如果不加限制地安装，攻击者可能利用这些工具获取敏感信息或执行任意代码。通过 --no-dev 可有效杜绝这类隐患。
保证环境一致性与性能
生产环境应尽可能轻量且专注。排除 dev 包后：
- 自动加载映射更小，提高 Composer 类加载效率
- 避免意外调用开发函数或触发测试逻辑
- 确保各环境（尤其是多服务器部署）依赖完全一致
例如，在 Laravel 项目中，如果未使用 --no-dev，可能会把 phpunit/phpunit 或 facade/ignition 部署到线上，带来严重安全隐患。
部署建议实践
在 CI/CD 脚本或部署流程中，始终使用以下命令：
composer install --no-dev --optimize-autoloader --class-map-authoritative其中：
- --no-dev：不安装开发依赖
- --optimize-autoloader：优化类自动加载速度
- --class-map-authoritative：提升性能，让 Composer 只查 classmap
基本上就这些。生产环境不是开发环境，少装一个包，就少一个风险点。用好 composer install --no-dev，是保障 PHP 应用稳定与安全的基本功。
