为何不建议在TYPO3生产环境部署中使用Composer？

• 版本一致性风险：composer install默认依据composer.json的版本约束安装依赖，如果项目没有提交composer.lock到代码仓库，会拉取满足约束的最新版本，导致生产环境依赖和测试/开发环境不一致，引发兼容性问题。TYPO3作为企业级CMS，对版本稳定性要求极高，这种“版本漂移”是官方重点规避的风险。
• 安全与性能问题：生产环境服务器通常会严格限制文件写入权限，composer install需要写入vendor目录及生成缓存文件，放宽权限可能引入安全隐患；同时安装过程会下载依赖、执行安装脚本，占用服务器CPU和带宽资源，可能影响正在运行的业务服务。
• 缺少前置优化环节：官方推荐的标准部署流程是在本地或专用构建环境完成依赖安装、代码优化（如类映射预生成、静态资源编译），再将编译后的成品部署到生产环境，避免在生产环境执行构建操作，减少出错概率和部署时间。

Deployer的composer install操作是基于项目的composer.lock文件执行的，会安装精确锁定版本的依赖，从根源上避免了版本漂移问题。同时它采用隔离式发布流程：在独立的临时目录中完成依赖安装和代码部署，确认无误后再通过软链接切换到生产环境，不会影响正在运行的业务实例。

此外，Deployer可以通过配置参数限制composer的权限范围、禁用不必要的安装脚本，进一步降低生产环境的安全和性能风险，适配了TYPO3的生产环境要求。

内容的提问来源于stack exchange，提问作者itsafire