composerwhy显示“nodependencies”是因为该包不是任何已安装包的直接依赖，常见于它是require-dev、被replace/provide声明或为root包自身require；需用composershow或--recursive验证。

--no-dev是生产环境强制安全边界，漏用会导致dev包如phpunit、symfony/var-dumper等误入线上，引发RCE风险、敏感信息泄露、非预期入口点及autoload性能下降。

应使用php-dmemory_limit=2G或COMPOSER_MEMORY_LIMIT=2G限制内存，前者优先级更高且控制所有子进程；composerconfigmemory-limit无效，因该命令不存在。

GitLabPAT必须启用read_api和read_repository权限；需在composer.json中声明HTTPS仓库URL；auth.json中username为git、password为完整PAT，域名须完全一致。

composerdump-autoload--no-dev不生成开发类加载规则是设计行为，它跳过autoload-dev配置（如tests/的PSR-4映射）且不加载require-dev包，仅保留生产环境自动加载逻辑。

composerinstall--dry-run能完整执行依赖解析、平台检查和插件钩子，但跳过所有磁盘写入；不能验证自动加载是否生效、不校验autoload冲突、不检测网络权限或运行时环境问题。