require-dev用于声明开发依赖，仅在开发环境安装，生产环境通过--no-dev参数跳过，以减少体积和风险。1. 它包含测试、调试、分析工具如PHPUnit、PHPStan；2. composer install安装所有依赖，composer install --no-dev仅装正式依赖；3. 生产代码不可引用dev依赖类，否则报错；4. 错误将运行依赖放入require-dev会导致线上异常；5. 应确保composer.lock提交并定期清理无用依赖。合理使用可提升安全性与部署效率。
在使用 PHP 进行项目开发时，Composer 是最常用的依赖管理工具。它通过 composer.json 文件来定义项目所需的外部库。其中，require 和 require-dev 是两个关键字段，它们决定了哪些包被安装在什么环境中。本文重点解析 require-dev 的作用，以及它在开发与生产环境中的实际影响。
什么是 require-dev？
require-dev 是 composer.json 中的一个配置项，用于声明仅在开发阶段需要的依赖包。这些包通常不参与生产环境的运行，但对开发、测试、调试和代码质量保障至关重要。
例如，以下是一些常见的 dev 依赖：
- PHPUnit：用于编写和运行单元测试
- PHP_CodeSniffer 或 PHPStan：用于静态代码分析和规范检查
- PsySH：交互式调试工具
- Faker：生成测试数据
这些工具帮助开发者提升代码质量，但在部署到线上服务器时并不需要它们。
开发环境 vs 生产环境中的安装行为
Composer 提供了灵活的安装选项，可以根据环境决定是否安装 dev 依赖。
在开发环境中，通常执行：
composer install
这条命令会读取 composer.json 并安装 require 和 require-dev 中的所有依赖，同时根据 composer.lock 安装确切版本，确保团队一致性。
而在生产环境部署时，推荐使用：
composer install --no-dev
加上 --no-dev 参数后，Composer 将跳过 require-dev 中列出的包，只安装正式运行所需的依赖。这能带来多个好处：
- 减少服务器上的代码体积
- 降低潜在的安全风险（如 dev 工具暴露）
- 加快部署速度和减少资源占用
自动加载机制的差异
Composer 会为 dev 依赖生成对应的自动加载映射，但仅在未启用 --no-dev 时生效。
执行 composer install 后，autoloader 会包含 require-dev 中的类；而使用 --no-dev 时，这些类将无法通过 autoloader 加载，尝试使用会触发 class not found 错误。
因此，务必确保生产代码中不引用任何仅存在于 dev 依赖中的类或函数。
常见误区与最佳实践
开发者容易犯的错误包括：
- 把运行时必需的包错放到 require-dev 中，导致线上功能异常
- 在生产脚本中调用了 phpunit 或 mockery 等测试工具
- 忘记提交 composer.lock，造成环境间版本不一致
推荐做法：
- 将测试、调试、构建相关工具放入 require-dev
- 核心业务依赖必须放在 require
- CI/CD 流程中先运行测试（含 dev 依赖），再用 --no-dev 部署
- 定期清理不再使用的 dev 依赖，保持配置整洁
基本上就这些。合理使用 require-dev 能让项目结构更清晰，环境更安全，部署更高效。关键在于明确区分“运行所需”和“开发辅助”。
