La importancia del archivo composer.lock en PHP

El archivo composer.lock fija las versiones de las dependencias de un proyecto PHP. En este artículo vemos qué es exactamente y por qué conviene no ignorarlo.

¿Qué es el archivo Composer.lock?

Composer es una herramienta de gestión de dependencias para PHP que permite a los desarrolladores definir y administrar las bibliotecas y paquetes de software que su proyecto necesita para funcionar correctamente. Utilizando un archivo composer.json, los desarrolladores pueden especificar las dependencias requeridas por su proyecto, junto con otras configuraciones importantes.

Composer genera el archivo composer.lock para que las dependencias de un proyecto se puedan reproducir. Contiene una lista de todas las dependencias directas e indirectas del proyecto, con la versión específica de cada una. Es un registro de las versiones exactas de todas las bibliotecas y paquetes de software que han sido instalados en el proyecto en un momento dado.

<x-front.flash type="warning" :show=true>
Este archivo lo genera y lo actualiza Composer (con `composer update` o `composer require`). No está pensado para editarse a mano.
</x-front.flash>

¿Para qué sirve el archivo Composer.lock?

El archivo composer.lock sirve para varias cosas en una aplicación PHP:

• Reproducibilidad de las dependencias: garantiza que todas las personas que trabajan en un proyecto utilicen exactamente las mismas versiones de las dependencias. Esto ayuda a evitar problemas de compatibilidad y asegura que el código se comporte de la misma manera en todos los entornos.

• Consistencia en el despliegue: si incluyes el archivo composer.lock en el repositorio del proyecto, se instalan las mismas versiones de las dependencias en todos los entornos, incluidos los servidores de producción. Esto reduce la posibilidad de errores inesperados causados por diferencias en las versiones de las dependencias entre entornos.

• Actualizaciones bajo tu control: si existe el composer.lock, composer install instala exactamente las versiones que tiene registradas aunque haya otras más nuevas. Ninguna dependencia cambia hasta que tú corres composer update, lo que evita problemas por actualizaciones inesperadas.

• Seguridad del proyecto: el archivo composer.lock no actualiza nada por sí solo. Como fija las versiones, los desarrolladores controlan qué versiones de las dependencias se utilizan y las cambian solo cuando lo deciden. Para saber si alguna tiene vulnerabilidades conocidas está composer audit, que revisa los paquetes contra los avisos de seguridad de Packagist.

<x-front.blockquote>
En una aplicación, este archivo debe ser enviado al repositorio para garantizar que tus compañeros de equipo y los servidores de staging / producción tengan exactamente las mismas versiones de paquetes. De lo contrario, podrías encontrarte en una situación donde tu aplicación funcione localmente, pero no en el servidor de producción o de tus compañeros.
</x-front.blockquote>

Con las librerías es distinto. La documentación de Composer dice que en una librería no hace falta commitear el lock, porque no tiene ningún efecto en los proyectos que la instalan: esos resuelven las versiones con su propio composer.lock.

En resumen, el archivo composer.lock registra las versiones exactas de todas las dependencias de un proyecto. En una aplicación, si lo subes al repositorio y dejas que lo actualice Composer, todos los entornos instalan lo mismo y decides tú cuándo cambia una versión.

Qué más conviene tener controlado en un proyecto PHP está en la guía de PHP.

Fuentes

• Basic usage (documentación oficial de Composer)
• Libraries (documentación oficial de Composer)
• Command-line interface / Commands (documentación oficial de Composer)