Entendendo o composer.lock

composer.lock registra a versão exata de cada pacote instalado, garantindo que todos os desenvolvedores e servidores instalem o mesmo código.

Para cada pacote: nome, versão resolvida, URL de origem, hash da distribuição (soma de verificação) e restrições de require.

Quando você executa composer install em uma máquina que tem um arquivo de bloqueio, o Composer instala exatamente o que o arquivo registra — ignorando as restrições de versão.

Sempre confirme composer.lock no repositório para aplicações. Isso garante instalações reproduzíveis em todos os ambientes.

O arquivo de bloqueio inclui somas de verificação SHA-256. O Composer verifica a integridade ao baixar os pacotes — pacotes adulterados são rejeitados.

O arquivo de bloqueio muda quando você executa composer update, composer require ou composer remove. A execução normal de composer install nunca o modifica.

Atualize apenas uma entrada de pacote sem alterar as demais:

Se composer.lock estiver dessincronizado com composer.json, o Composer avisará e solicitará que você execute update.

O arquivo de bloqueio também registra os requisitos de versão do PHP e das extensões verificados no momento do bloqueio — evitando problemas do tipo "funciona na minha máquina".

Os fluxos de CI devem executar composer install --no-dev --optimize-autoloader: usam exatamente o arquivo de bloqueio, ignoram os pacotes de desenvolvimento e criam um mapa de classes otimizado.

O arquivo de bloqueio é um JSON válido, mas nunca o edite manualmente — sempre use os comandos do Composer.

composer.lock é a única fonte confiável sobre o que está instalado. Faça o commit dele, use install em produção e execute update somente quando quiser versões mais recentes.

O que composer install faz quando composer.lock existe?