不能直接在运行镜像里用 composer install，因为运行镜像精简缺PHP扩展、编译工具和git，导致安装失败，且混入开发依赖会增大攻击面和体积；builder阶段须与运行时环境严格一致（PHP版本、扩展、ini配置），并通过多阶段仅复制vendor等必要文件，配合BUILDKIT secret安全拉取私有包。
为什么不能直接在运行镜像里用
因为运行镜像通常基于
或精简
，缺 PHP 扩展（如
、
）、编译工具（
、
）甚至
——而某些包（比如带
脚本或需要从
拉私有库的）会直接失败。更糟的是，你把开发依赖（
）和构建工具全塞进生产镜像，增大攻击面和镜像体积。
builder 阶段必须装全 PHP + 扩展 + Composer
多阶段构建里，builder 镜像不是“能跑
就行”，它得模拟真实安装环境：PHP 版本、扩展、ini 设置（比如
）都得和运行时一致，否则
生成可能出错，或扩展相关类在运行时找不到。
用和运行镜像同源的基础镜像（例如运行镜像用
，builder 就用
）
显式安装所有运行时需要的扩展：
，别依赖镜像默认
设大内存限制：
确认
已提交，且
不指向共享卷（避免缓存污染）
只复制
和生成文件，别复制整个项目
很多人把
一锅端，结果把
、
、临时文件甚至
全塞进运行镜像。这不光增大体积，还可能暴露敏感信息或引发权限问题（比如
里某些脚本被意外执行）。
Composer 2.9.6
Composer 2.9.6 是 PHP 生态中高效、稳定的依赖管理工具。此版本在性能与兼容性上进一步优化，改进了依赖解析算法，提升大型项目中的安装与更新速度。它支持并行下载任务，显著减少等待时间，并增强了与私有仓库及镜像源的交互稳定性。同时修复了多项命令行交互与内存使用相关的缺陷，确保在复杂依赖关系下依然可靠运行。无论是新项目初始化还是现有系统维护，Composer 2.9.6 都能为开发者提供流畅、精准的依赖管理体验。
下载
只复制必要路径：
如果用了
，记得也复制生成的
和
确保运行镜像里
目录已存在且权限合理（比如
）
私有包或 Git 仓库怎么安全拉取
builder 阶段要拉私有包，但又不能把 SSH key 或 token 硬编码进镜像层——哪怕只在 builder 阶段，Docker 构建缓存也可能泄露凭证。
用
的
机制：
，再在 Dockerfile 里用
避免用
URL；改用 HTTPS + token（
），配合 secret 注入
如果必须用 SSH，挂载
socket（
），而不是复制私钥文件
有些团队卡在
报
，查半天发现是 builder 和运行镜像 PHP 版本差小数点（8.2.1 vs 8.2.10），或者
导致 autoloader 缓存异常——这些细节不打日志根本看不见。多阶段不是“拆成两段就完事”，关键在两端环境对齐。
composer installalpinedebian:slimmbstringzipgccmakegitpost-install-cmdgitrequire-devcomposermemory_limitautoloadphp:8.2-apachephp:8.2-clidocker-php-ext-install mbstring zip pcntlphp -d memory_limit=-1 /usr/bin/composer install --no-dev --optimize-autoloadercomposer.lockCOMPOSER_HOMECOPY --from=buildervendor/COPY --from=builder /app /appcomposer.jsonnode_modules.gitvendor/COPY --from=builder /app/vendor /app/vendorcomposer dump-autoload --classmap-authoritativevendor/autoload.phpvendor/composer/autoload_classmap.php/appRUN mkdir -p /app && chown www-data:www-data /appBUILDKITsecret--secret id=github_token,src=./github.tokenRUN --mount=type=secret,id=github_token composer config github-oauth.github.com $(cat /run/secrets/github_token)git@https://token:x-oauth-basic@github.com/user/repossh-agent--mount=type=sshcomposer installClass not foundopcache.enable_cli=1