Comprender composer.lock

composer.lock registra la versión exacta de cada paquete instalado, lo que garantiza que todos los desarrolladores y servidores instalen el mismo código.

Para cada paquete: nombre, versión resuelta, URL de origen, hash de dist (suma de comprobación) y restricciones de require.

Cuando ejecuta composer install en una máquina que tiene un archivo de bloqueo, Composer instala exactamente lo que registra dicho archivo e ignora las restricciones de versión.

Confirme siempre composer.lock en las aplicaciones. Esto garantiza instalaciones reproducibles en todos los entornos.

El archivo de bloqueo incluye sumas de comprobación SHA-256. Composer verifica la integridad durante la descarga; los paquetes manipulados se rechazan.

El archivo de bloqueo cambia cuando ejecuta composer update, composer require o composer remove. Un composer install normal nunca lo modifica.

Actualice únicamente la entrada de un paquete sin modificar las demás:

Si composer.lock no está sincronizado con composer.json, Composer mostrará una advertencia y le pedirá que ejecute update.

El archivo de bloqueo también registra los requisitos de versión de PHP y de extensiones comprobados al crear el bloqueo, lo que evita problemas de tipo "en mi máquina funciona".

Las canalizaciones de CI deben ejecutar composer install --no-dev --optimize-autoloader: utiliza exactamente el archivo de bloqueo, omite los paquetes de desarrollo y crea un classmap optimizado.

El archivo de bloqueo es un JSON válido, pero nunca lo edite manualmente; utilice siempre los comandos de Composer.

composer.lock es la única fuente de verdad sobre lo que está instalado. Confírmelo en el control de versiones, use install en producción y ejecute update únicamente cuando quiera versiones más recientes.

¿Qué hace composer install cuando existe composer.lock?