锁 composer.lock；区分平台依赖；部署用 --no-dev。写清 PHP 与扩展版本。