Zrozumienie pliku composer.lock

composer.lock zapisuje dokładną wersję każdego zainstalowanego pakietu, gwarantując, że każdy programista i każdy serwer zainstaluje ten sam kod.

Dla każdego pakietu: nazwę, rozwiązaną wersję, adres URL źródła, hash dystrybucji (sumę kontrolną) oraz ograniczenia require.

Po uruchomieniu composer install na komputerze, na którym znajduje się plik blokady, Composer instaluje dokładnie to, co zapisano w tym pliku — ignorując ograniczenia wersji.

W przypadku aplikacji należy zawsze zatwierdzać plik composer.lock. Gwarantuje to powtarzalność instalacji we wszystkich środowiskach.

Plik blokady zawiera sumy kontrolne SHA-256. Composer weryfikuje integralność podczas pobierania — zmodyfikowane pakiety są odrzucane.

Plik blokady zmienia się po uruchomieniu composer update, composer require lub composer remove. Zwykłe composer install nigdy go nie modyfikuje.

Zaktualizuj wpis tylko jednego pakietu bez zmieniania pozostałych:

Jeśli composer.lock nie jest zgodny z composer.json, Composer wyświetli ostrzeżenie i poprosi o uruchomienie update.

Plik blokady zapisuje również wymagania dotyczące wersji PHP i rozszerzeń, sprawdzane w momencie jego tworzenia — pomaga to uniknąć problemów typu „u mnie działa”.

Potoki CI powinny uruchamiać composer install --no-dev --optimize-autoloader: używa on dokładnie pliku blokady, pomija pakiety deweloperskie i buduje zoptymalizowaną mapę klas.

Plik blokady jest prawidłowym dokumentem JSON, ale nigdy nie edytuj go ręcznie — zawsze używaj poleceń Composer.

composer.lock jest jedynym wiarygodnym źródłem informacji o tym, co zostało zainstalowane. Należy go zatwierdzać w repozytorium, używać install na produkcji i uruchamiać update tylko wtedy, gdy potrzebne są nowsze wersje.

Co robi composer install, gdy istnieje composer.lock?