直接 copy --from=builder /app/vendor 会出问题，因为 builder 阶段若未用 --no-dev 等参数严格安装，会导致 dev 依赖混入生产镜像，增大体积并引入运行时风险；必须在 builder 中执行 composer install --no-dev --optimize-autoloader --classmap-authoritative --no-scripts，并确保路径、权限、php 环境一致，且 final 镜像不包含 composer 文件和本地 vendor。
为什么直接 COPY --from=builder /app/vendor 会出问题
因为 vendor/ 目录里混着开发依赖（比如 phpunit、friendsofphp/php-cs-fixer）和运行时依赖，而生产镜像不该带任何 dev 包——它们不仅增大镜像体积，还可能引入未声明的运行时风险（例如某些 dev 工具会注册 autoloader 或修改 ini 设置）。
Composer 默认 install 行为受 COMPOSER_DEV_MODE 和 --no-dev 控制，但多阶段构建中如果 builder 阶段没明确禁用 dev，COPY --from=builder /app/vendor 就等于把整个（含 dev 的）vendor 搬进 final 镜像。
- builder 阶段必须显式加
--no-dev --optimize-autoloader --classmap-authoritative - final 阶段不能有
composer install，否则会重装并覆盖已复制的 vendor - 注意
autoload.php路径是否一致：builder 和 final 的工作目录需相同，否则 require 失败
如何让 builder 阶段只生成最小 vendor
关键不是“复制什么”，而是“builder 里装什么”。必须在 builder 中用 composer install 的严格生产模式，且不带 composer.json 和 composer.lock 进 final 阶段——它们对运行无用，反而可能误导后续操作。
- builder 阶段执行：
composer install --no-dev --optimize-autoloader --classmap-authoritative --no-scripts -
--no-scripts很重要：避免执行post-install-cmd类钩子（比如生成缓存、清日志），这些在 build 时无意义，还可能因环境缺失失败 - 确保 builder 使用与 final 完全相同的 PHP 版本和扩展（尤其是
mbstring、json），否则 classmap 可能失效或 autoload 出错 - 不要在 builder 中
rm -rf composer.*——composer.lock必须保留到 builder 结束，否则--classmap-authoritative会退化
COPY --from=builder 的路径和权限陷阱
常见错误是 COPY --from=builder /app/vendor /app/vendor 后发现 PHP 报 Class not found，大概率是 owner/group 或文件权限不对，或者 vendor 里混进了 builder 阶段的临时文件（如 .htaccess、.git 子目录）。
- final 阶段 base image（如
php:8.2-cli-alpine）默认以root运行，但某些 alpine 镜像里www-dataUID 是 82，而 builder 里vendor文件属主可能是 1001 → 导致 opcache 无法写缓存、autoload 加载慢 - 推荐统一 chown：
RUN chown -R www-data:www-data /app/vendor（按 final 镜像实际用户调整） - 避免 COPY 整个
/app：builder 里可能有node_modules、tests/、var/cache等冗余内容，应精确 COPY/app/vendor和/app/public等必要目录
验证 vendor 是否真的精简了
别只看镜像大小变化。真正要确认的是 final 镜像里有没有意外残留的 dev 包，以及 autoloader 是否按预期工作。
- 进入 final 容器执行：
composer show --dev→ 应报错 “Command 'show' is not defined” 或输出空，说明composer二进制根本没进镜像；若还能运行，说明你误 COPY 了composer.phar或bin/composer - 检查
/app/vendor/composer/autoload_classmap.php大小：启用--classmap-authoritative后，这个文件应存在且 >10KB；为空或不存在，说明优化没生效 - 运行
php -d display_errors=1 -r "require '/app/vendor/autoload.php'; echo 'ok';"→ 必须输出 ok，否则 autoload 路径或权限有误
最易被忽略的一点：.gitignore 里常忽略 vendor/，但 Docker 构建上下文仍会把本地 vendor 带进去（如果没加 .dockerignore）。务必确认 .dockerignore 包含 vendor/，否则 COPY . 时会污染 builder 阶段。
