vendor目录庞大的根源是dev依赖和测试/文档等非运行文件；生产环境应使用composer install --no-dev --optimize-autoloader，并用composer-unused扫描未引用包，再通过composer-cleaner或shell命令清理冗余目录。

vendor 目录为什么这么大？根源在 dev 依赖和测试文件

绝大多数项目 vendor 膨胀，不是因为主包本身，而是 composer install 默认拉取了所有 require-dev 依赖（如 phpunit、mockery、phpstan），并且很多包把测试用例（tests/）、文档（docs/）、示例（examples/）甚至 .git 目录一起打包进发行版。这些对线上运行完全无用，但可能占掉 40%–70% 的空间。

安装时跳过 dev 依赖：只在生产环境用 --no-dev

部署到服务器或构建 Docker 镜像时，必须加这个参数，否则白占空间还增加攻击面：

composer install --no-dev --optimize-autoloader

注意：--optimize-autoloader 会生成类映射（classmap），加快自动加载，同时也会排除未声明的文件（比如没在 autoload.files 里写的 .php），属于一箭双雕。

• CI/CD 流水线、Dockerfile 的 RUN composer install 行必须带 --no-dev
• composer update 一般不用于生产，但如果执行，也应加 --no-dev 防止意外引入开发依赖
• 本地开发仍需 require-dev，所以不要全局删掉 composer.json 里的 require-dev 段

用 composer-unused 扫描真正没被引用的包

composer install --no-dev 只是砍掉整块 dev 依赖，但有些 require 包其实项目里根本没调用过（比如历史遗留、临时试用后忘了删）。这时需要静态分析：

composer require --dev composer-unused
composer unused

它会扫描全部 PHP 文件，比对 use、new、static:: 等调用痕迹，列出疑似废弃的包。结果要人工核验，尤其注意：

• 运行时动态加载（class_exists($name)、Container::get()）不会被识别
• 配置文件中引用的类（如 Laravel 的 config/app.php）也不会被扫描到
• 删包前先 git grep 搜包名，确认没有字符串级依赖

删 vendor 内部冗余目录：用 composer-cleaner 或手动过滤

即使去掉 dev 依赖，单个包（比如 symfony/console）仍自带 Tests/、Resources/、CHANGELOG.md 等非运行必需内容。可借助工具清理：

composer require --dev vaimo/composer-cleaner
# 在 composer.json 中添加清理规则
"extra": {
    "vaimo-composer-plugins": {
        "cleaner": {
            "excludes": ["**/Tests/**", "**/tests/**", "**/Examples/**", "**/*.md", "**/*.txt", "**/.git/**"]
        }
    }
}

或者更轻量——直接用 shell 清理（执行前备份）：

find vendor/ -name 'Tests' -type d -exec rm -rf {} +
find vendor/ -name 'tests' -type d -exec rm -rf {} +
find vendor/ -name '*.md' -delete
find vendor/ -name 'CHANGELOG*' -delete

⚠️ 注意：phpunit 类包（如 phpunit/phpunit）本身不含 Tests/，但它的依赖（如 sebastian/exporter）常带测试目录；删之前确认该包是否真被 --no-dev 排除了。

最省事的是从一开始就用 --no-dev，最难防的是那些“看起来有用、其实没被调用”的包——它们不会报错，只会悄悄吃掉磁盘和部署时间。