composer.lockを理解する

composer.lockには、インストールされたすべてのパッケージの正確なバージョンが記録されます。これにより、すべての開発者とサーバーに同じコードがインストールされます。

各パッケージについて、名前、解決されたバージョン、ソースURL、distハッシュ（チェックサム）、requireの制約が記録されます。

ロックファイルがあるマシンでcomposer installを実行すると、Composerはバージョン制約を無視し、ロックファイルに記録された内容を正確にインストールします。

アプリケーションでは、必ずcomposer.lockをコミットしてください。これにより、すべての環境で再現性のあるインストールが保証されます。

ロックファイルにはSHA-256チェックサムが含まれています。Composerはダウンロード時に整合性を検証し、改ざんされたパッケージを拒否します。

ロックファイルは、composer update、composer require、composer removeを実行したときに変更されます。通常のcomposer installでは変更されません。

他のパッケージに影響を与えず、1つのパッケージのエントリだけを更新します。

composer.lockとcomposer.jsonの内容が一致しない場合、Composerは警告を表示し、updateの実行を求めます。

ロックファイルには、ロック時に確認されたPHPのバージョンと拡張機能の要件も記録されます。これにより、「自分の環境では動くのに」という問題を防げます。

CIパイプラインではcomposer install --no-dev --optimize-autoloaderを実行してください。ロックファイルの内容どおりにインストールし、開発用パッケージを省略して、最適化されたクラスマップを構築します。

ロックファイルは有効なJSONですが、決して手動で編集せず、必ずComposerのコマンドを使用してください。

composer.lockは、インストールされるパッケージの唯一の正しい情報源です。これをコミットし、本番環境ではinstallを使用し、新しいバージョンが必要なときだけupdateを実行してください。

composer.lockが存在するとき、composer installは何をしますか。