先说一个核心判断：动态安装扩展包这件事，它本身就是一个伪命题。你指望Composer在运行时“实时联网装包”？基本行不通。真正可行的方案，是靠预置策略 + 显式触发 + 环境隔离这三板斧来实现的。所有vendor目录的变更，都必须锁定在构建阶段完成——比如CI流水线、Docker镜像构建、或者部署脚本里。并且要严格控制好PHP扩展、autoload机制和服务注册这三者的生效顺序，一步都不能乱。
一句话说清楚：没有“运行时自动拉包”这回事。所有vendor目录的变更，都必须发生在构建阶段（比如CI、Docker构建、部署脚本），并且要严格控制PHP扩展、autoload、服务注册三者的生效时机。
那怎么实现真正的“动态”？往下看。
composer require 必须在构建阶段执行，而不是 runtime 调用
PHP进程一旦启动，vendor/autoload.php就已经被加载完毕了。这时候如果你再跑一遍composer require，不仅完全无效，还会直接把当前的autoloader缓存搞乱。动态化的核心思路，不是“边跑边装”，而是“按需生成不同依赖集的构建产物”。
- 在CI/CD流水线里，用条件变量控制是否执行
composer require。比如写一个if [ "$ENABLE_QUEUE" = "true" ]; then composer require topthink/think-queue; fi的判断逻辑。 - 如果是Docker构建，把扩展安装逻辑直接写进
Dockerfile的RUN步骤里，千万别放到应用启动脚本里去。 - 绝对禁止在
index.php或者Lara vel的AppServiceProvider::boot()里调用exec('composer require ...')——这么做不仅权限、路径、环境变量全都会错乱，而且autoload刷新根本无法保证。
动态开关依赖：用 require-dev + autoload-dev 隔离非核心包
很多人想过：能不能让某些扩展只在特定环境下生效？比如本地开发装调试工具，线上直接禁用？看起来简单，但靠删require行是行不通的。正确做法是利用Composer的autoload-dev和--no-dev开关。
- 把那些可选扩展（比如
phpunit/phpunit、barryvdh/lara vel-debugbar）统一放进require-dev，而不是require。 - 在
autoload-dev里声明它们的命名空间映射，但千万别在主autoload里加——否则即使你没装dev包，composer dump-autoload的时候依然会尝试加载，结果就是Class not found。 - 线上部署时固定用
composer install --no-dev --optimize-autoloader，确保这些类根本不会被注册进autoloader。
这才是最经典的做法，干净又可控。
多环境配置：用 repositories + path 仓库切换本地/测试/生产包
如果让我推荐一个真正可控的方式，那就是靠改composer.json的repositories字段。比如你想灰度测试一个新的支付SDK，换仓库比改代码更安全，也更容易回退。
- 开发时用
path仓库指向本地修改版："repositories": [{"type": "path", "url": "../my-pay-sdk"}]，执行composer require myorg/pay-sdk后生成软链接，改源码就能立即生效。 - 测试环境切换到私有Git仓库：
{"type": "vcs", "url": "https://git.example.com/my-pay-sdk"}，并指定tag：composer require myorg/pay-sdk:v1.2.0-test。 - 生产环境则删掉
repositories字段，回归Packagist官方源，避免任何意外路径干扰。 - 这里有个小坑：每次切换
repositories之后，必须composer update myorg/pay-sdk（不是require），否则Composer会继续用旧的缓存解析版本。
autoload 注册和 ServiceProvider 加载必须显式触发
动态化最怕什么？包明明已经装进了vendor/，但代码就是找不到类，或者功能不生效。问题往往就卡在autoload映射没有刷新，或者服务提供者没有注册。
- 每次
require或update之后，必须执行composer dump-autoload -o。尤其是当你新增了自定义PSR-4映射，或者用了path仓库的时候，这一步绝对不能省。 - 在Lara vel项目里，如果禁用了auto-discovery（比如配置了
"dont-discover": ["*"]），那每个动态加入的包都得手动把ServiceProvider加到config/app.php里——这其实没法真正“动态”，只能靠部署前的脚本注入配置行。 - ThinkPHP 6/8的扩展依赖
extra.think-service-provider字段。如果这个字段不存在，即使包已经安装，think\facade\Facade也无法自动绑定。所以必须检查扩展包自身的composer.json。
动态化的本质，是把所有“变”的部分——包的选择、版本、路径——提前收敛到构建配置里去，而不是指望运行时去协调。最后强调两个最容易忽视的问题：autoload缓存不会自动感知vendor/的变更，所以composer dump-autoload这一步永远不能省；另外CLI和Web SAPI用的是不同的php.ini，很可能php -m看到的扩展和phpinfo()不一致，这种环境错位会让所有动态逻辑都失效。
