vendor目录离线包本质是composer install --no-dev后的完整快照

vendor 目录离线包本质是 composer install --no-dev 后的完整快照

Composer vendor目录离线包，本质上是一个经过精简、可直接部署到生产环境的依赖文件夹快照。其核心目标在于锁定精确的依赖版本并彻底移除开发环境专用组件。整个生成流程必须严格依据composer.lock文件执行，并强制排除所有开发依赖（dev dependencies）。若忽略此步骤，在线上部署时极易触发私有仓库拉取失败或预设脚本执行错误。若本地打包时遗漏--no-dev参数，诸如phpunit、phpstan等开发工具包将被包含在内，这不仅会大幅增加离线包体积，更可能因生产环境缺失特定PHP扩展而导致自动加载（autoload）过程直接中断。

以下是生成纯净离线包的标准操作步骤：

• 首先，确保项目根目录下存在有效的composer.lock文件（通常通过执行composer update或composer install生成）。
• 执行核心生成命令：composer install --no-dev --optimize-autoloader --ignore-platform-reqs。
• 其中，--optimize-autoloader参数会生成vendor/composer/autoload_classmap.php文件，将类名与文件路径的映射关系预先固化，显著提升运行时加载效率。
• --ignore-platform-reqs参数则能有效规避因本地与生产环境PHP版本或扩展不一致导致的安装中断。例如，开发环境使用PHP 8.2而生产服务器为PHP 7.4时，此参数可确保安装流程顺利进行。

私有包（GitLab/GitHub）必须用 dist 模式打离线包

当composer.json中引用了私有仓库（例如"my/package": "dev-main"）时，Composer默认会采用source模式（即克隆完整的Git仓库）。这在离线部署场景下是不可行的，且打包过程通常不会包含.git目录，将导致后续离线环境执行composer install时失败。

解决方案是强制所有依赖通过dist模式（下载压缩包）获取：

• 在运行命令前设置环境变量：COMPOSER_PREFERS_DIST=1。
• 或在composer.json配置中明确设置："prefer-stable": true, "prefer-dist": true。
• 验证方法：安装完成后，检查vendor/my/package/目录下是否存在.git文件夹；若不存在则表明成功。
• 若发现某个包仍为source模式，可检查composer.lock文件中该包的"source"字段。彻底解决方法是：删除现有composer.lock与vendor/目录，重新执行composer update --prefer-dist。

打包前务必清理无用文件，否则体积暴涨

未经处理的vendor/目录常包含大量非运行时必需文件：测试用例、文档、示例代码、.git目录及未压缩源码。以laravel/framework为例，其tests/目录可能超过30MB。若不进行清理，离线包体积将急剧膨胀，不仅影响传输效率，还可能增加解压失败风险。

推荐在Linux/macOS环境下使用以下组合命令进行清理：

find vendor -name "*.md" -o -name "*.txt" -o -name "tests" -o -name "Tests" -o -name ".git" | xargs rm -rf
find vendor -name "phpunit*" -o -name "phpstan*" -o -name "psalm*" | xargs rm -rf
rm -rf vendor/bin/*

特别注意：vendor/bin/目录下的可执行文件（如phpstan）通常为开发工具，生产环境无需保留。但若项目依赖laravel/sail或spatie/laravel-backup等包且需使用其命令行工具，则必须保留对应的二进制文件。

离线部署时 composer install 必须加 --no-scripts

许多Composer包会在post-install-cmd等事件中注册脚本，其中可能包含php artisan optimize或npm run dev等命令。离线环境往往缺少Node.js或Laravel命令行工具，导致安装过程卡顿或失败。这并非Composer缺陷，而是其设计并未区分“在线初始化安装”与“离线复用已有包”两种场景。

因此，在离线环境部署时，应使用以下命令：

composer install --no-dev --no-scripts --no-interaction

部署过程中需警惕以下常见陷阱：

• 遗漏--no-scripts参数：若部署时出现类似Script @php artisan package:discover handling the post-autoload-dump event returned with error code 1的错误，通常源于此。
• 必须包含--no-interaction参数，否则如symfony/flex等包可能在安装时进行交互式配置询问，导致无人值守部署失败。
• 绝对禁止在离线服务器上执行composer update——缺乏网络连接将直接引发Could not fetch https://repo.packagist.org/packages.json类错误。

最可靠的离线部署策略是将打包好的vendor目录视为一个静态的、可直接使用的构建产物，而非在运行时动态生成。整个流程中，锁文件版本控制、dist模式强制启用、彻底的文件清理三者必须作为整体进行同步验证，缺一不可。任一环节的疏忽都可能在线上引发难以排查的静默失败（silent failure）。