加 --no-dev 参数让 Composer 只安装 require 中的依赖，跳过 require-dev 的开发包，避免生产环境引入冗余工具、安全风险及性能开销，并加快安装速度、降低失败概率。
加 --no-dev 参数会让 Composer 只安装 require 里声明的依赖，跳过 require-dev 里定义的开发专用包。
避免生产环境装入不必要的开发工具
像 PHPUnit、PHPStan、php-cs-fixer、larastan 这类包只在本地写代码、跑测试、做静态分析时需要。它们不参与运行时逻辑，还可能带来额外的内存开销或安全面暴露（比如某些调试工具自带 Web 界面）。生产服务器上装这些既浪费磁盘空间，又增加潜在风险。
加快安装速度并减少失败概率
- 依赖树更小，解析和下载更快
- 跳过 dev 包及其子依赖，降低因某一个 dev 包版本冲突或网络问题导致 install 中断的可能
- 尤其在 CI/CD 流水线或资源受限的容器中效果明显
配合其他参数更稳妥
实际部署时通常组合使用：
- --no-dev：不装开发依赖
- --optimize-autoloader（或 -o）：生成优化后的 autoloader，提升类加载性能
- --no-interaction（或 -n）：非交互模式，适合自动化脚本
- --no-scripts：跳过 composer.json 中定义的 post-install-cmd 等脚本（谨慎用，有些项目需执行迁移或缓存清理）
注意 autoload-dev 的影响
虽然 --no-dev 不安装 dev 包，但 autoload-dev 配置仍会被读取（除非你手动删了 vendor/autoload.php 或改了自动加载逻辑）。不过只要没 require 这些 dev 类，就无实质影响。真正要防范的是：别在生产代码里条件性调用 PHPUnit 的断言或 Mockery 的创建方法——这类代码本身就不该进生产分支。
基本上就这些。生产部署加 --no-dev 是标准动作，不复杂但容易忽略。
