如何复制现有项目中的Composer依赖环境？

本文共计755个文字，预计阅读时间需要4分钟。

使用以下命令直接安装依赖项：

为什么不能用 composer update 来“同步”别人项目的依赖

composer update 的本质是重新解析 composer.json，忽略 composer.lock，然后求解最新兼容版本。结果往往是：

• 装上 monolog/monolog 3.6.0 而不是 lock 里锁死的 3.5.0，可能触发未测试的 BC break
• Git 包被拉取新 commit，但原项目依赖的是特定 hash，行为已不可复现
• CI 流水线跑出和本地不同的构建产物，线上偶发 Class not found

composer install 执行前必须确认的三件事

看似一行命令，失败常因隐性前提缺失：

• composer.lock 必须存在且未被 .gitignore 屏蔽（检查 ls -la | grep composer.lock）
• vendor/ 目录必须为空或不存在（rm -rf vendor 再运行，否则旧文件残留干扰 autoload）
• 当前 PHP 版本需满足 lock 中 "platform": {"php": ">=8.1"} 这类声明（用 php -v 和 grep -A5 '"platform"' composer.lock 对比）

U 盘拷贝 vendor 后为什么 vendor/autoload.php 找不到类

因为 vendor/autoload.php 默认写的是源机器的绝对路径（尤其 Windows → Linux 场景），且 classmap 缓存未适配目标机。必须在目标机执行：

• composer dump-autoload --optimize（重生成 autoload，跳过旧路径）
• 确保 src/ 等自定义 autoload 路径存在且权限可读（Linux 下 U 盘挂载常带 noexec 或 uid/mask 错误）
• 禁用 --classmap-authoritative，除非你刚完整扫描过所有类（U 盘迁移后通常没扫过）

离线环境下让 composer install 不联网的关键动作

哪怕只差一个包，Composer 默认也会连 packagist.org。要彻底断网运行，得靠 composer.lock 里的 dist URL 和 hash：

• 源机器打包前务必执行 composer install --prefer-dist --no-dev，确保 lock 中记录的是 dist 归档而非 source
• 把整个项目（含 composer.json、composer.lock）和 vendor/ 一起拷到 U 盘——但注意：vendor 只作参考，目标机仍要删掉再装
• 目标机运行：composer install --no-interaction --no-progress --prefer-dist，它会严格按 lock 里的 dist URL 解压，不查网络

最容易被忽略的是 composer.lock 里的 content-hash 字段——它校验的是 composer.json 内容，一旦 json 被手改（比如加了注释、调整了空格），install 就会拒绝执行，报错 “The lock file does not contain require-dev information”。这种细节不报错提示，只静默失败。