composer archive 命令非官方内置，实际执行的是第三方工具 vendor/bin/composer-archive；推荐用 composer install --no-dev --optimize-autoloader 配合 zip 显式排除文件打包。
composer archive 命令本身不支持排除文件
直接运行 composer archive 会报错，因为 Composer 自带命令中根本不存在这个子命令。你看到的可能是旧文档、误记，或混淆了第三方插件（如 hirak/prestissimo 或自定义脚本）的行为。Composer 官方只提供 composer install、composer dump-autoload 等核心命令，没有内置打包功能。
用 composer archive --format=zip 实际调用的是 vendor/bin/composer-archive
如果你确实执行过类似命令且成功了，大概率是项目中已安装了第三方包 composer-archive（如 robloach/component-installer 衍生工具或私有封装）。它通常会在 vendor/bin/composer-archive 提供可执行文件，并支持 --format、--exclude 等参数。但该工具非官方维护，行为不稳定：
- 不识别
composer.json中的"archive": {"exclude": [...]}配置（那是旧版composer-satis的用法） -
--exclude参数只接受路径前缀，例如--exclude="tests/" --exclude="docker/"，不能写 glob 模式 - 不会自动排除
vendor/、node_modules/或.git/—— 这些得手动加
推荐方案：用 composer install --no-dev + zip 命令组合
最可靠、可复现、无需额外依赖的方式是分两步走——先精简依赖，再用系统工具打包：
- 运行
composer install --no-dev --optimize-autoloader，确保vendor/里只有生产依赖，且 autoloader 已优化 - 用 shell 命令打包，显式排除开发相关路径：
zip -r myapp-release.zip . \ -x "vendor/*" \ -x "node_modules/*" \ -x ".git/*" \ -x ".gitignore" \ -x "phpunit.xml*" \ -x "tests/*" \ -x "docker/*" \ -x "Dockerfile" \ -x "composer.lock" \ -x "composer.json"
- 如果要保留
composer.json（比如部署时需再 install），就删掉对应-x "composer.json"行；但注意别漏掉composer.lock，它体积大且部署时不需要
想自动化？写个 composer script 而不是依赖插件
在 composer.json 的 "scripts" 里加一条干净、透明的命令：
"scripts": {
"package": [
"@composer install --no-dev --optimize-autoloader",
"zip -r myapp-$(date -I).zip . -x \\\"vendor/*\\\" -x \\\".git/*\\\" -x \\\"tests/*\\\" -x \\\"phpunit.xml*\\\""
]
}
然后运行 composer run package。这样所有逻辑可见、可控、无隐式依赖。别把打包逻辑藏进某个不知名插件的配置里——下次升级 Composer 或换环境时，很可能就失效了。
真正容易被忽略的是：很多人以为 --no-dev 就等于“打包安全”，其实它只影响 vendor/，对项目根目录下的 tests/、docs/、.env.example 等完全没作用。排除动作必须显式声明，且测试过压缩包解压后能否直接运行。
