Composer怎么用Composer构建微服务依赖_Composer如何在PHP微服务项目中管理共享库依赖【实战】-composer-PHP中文网

composer install 是上线和ci/cd唯一安全选择，严格按composer.lock安装确保环境一致；composer update仅限本地开发时手动执行，否则引发跨服务依赖不一致与运行时错误。

composer怎么用composer构建微服务依赖_composer如何在php微服务项目中管理共享库依赖【实战】

Composer install 和 update 到底该用哪个？

微服务项目里，composer install 是上线和 CI/CD 的唯一安全选择；composer update 只应在本地开发时、明确要升级依赖版本时手动执行。误用 composer update 会导致各服务的 composer.lock 不一致，上线后行为突变——比如某个共享库的 SharedLogger::log() 在服务 A 里是 v2.1，在服务 B 里被悄悄升到 v3.0，接口签名已变但没报错，日志字段直接消失。

composer install 严格按 composer.lock 安装，确保所有环境（dev/staging/prod）依赖完全一致
composer update 忽略 composer.lock，按 composer.json 中的版本约束重新解析依赖树，可能引入不兼容变更
CI 流水线中必须禁用 composer update，只允许 composer install --no-dev --optimize-autoloader

私有包怎么让 Composer 正确拉取？

微服务共用的 shared-utils 或 domain-models 通常放在 GitLab/GitHub 私有仓库，不是 Packagist 上的公开包。Composer 默认不认私有源，必须显式配置 repositories，且注意认证方式。

在根 composer.json 里加 "repositories" 数组，类型选 "vcs"，URL 填完整 HTTPS 地址（如 "https://gitlab.example.com/php/shared-utils.git"）
Git 认证不能靠 ~/.gitconfig，必须用 auth.json：在项目根目录放 auth.json，内容为 {"http-basic": {"gitlab.example.com": {"username": "token", "password": "PAT_abc123..."}}}
避免用 SSH URL（如 git@gitlab.example.com:php/shared-utils.git），CI 环境往往没配 SSH key，HTTPS + PAT 更可控
执行 composer require example/shared-utils:dev-main 时，务必带分支名或版本别名，否则 Composer 可能报 Could not find package

autoload 配置写错，类就永远找不到

共享库的类自动加载一旦配错，Class 'AppSharedValueObjectEmail' not found 这类错误不会在 composer install 时报，而是在运行时才炸，且很难定位是哪个包的问题。

Workflow Decomposer

工作流任务拆解与模型编排技能。使用场景：(1) 收到复杂工作任务需要拆解为可执行步骤，(2) 需要为不同步骤选择最合适的模型，(3) 需要跟踪工作流进度和模型使用情况，(4) 长时间任务卡住需要问题诊断和解决方案。

下载

在共享库自己的 composer.json 中，用 "autoload" 而非 "autoload-dev" 声明生产级映射，例如："psr-4": {"App\Shared\": "src/"}
路径必须是相对于包根目录的，"src/" 不能写成 "./src/" 或 "src"（少斜杠）
命名空间末尾的反斜杠必须双写为 \，否则 JSON 解析失败，Composer 直接忽略该 autoload 规则
改完 composer.json 后，必须在使用该包的服务里执行 composer dump-autoload，否则新映射不生效

微服务间版本冲突怎么破？

服务 A 依赖 shared-config v1.2，服务 B 依赖 v2.0，而两者又都调用同一个底层服务 C —— 这不是 Composer 能自动解决的，它只管当前项目，不管跨服务契约。

根本解法是收敛版本：所有服务统一要求 shared-config ^2.0，旧服务 A 必须重构适配，不能靠 Composer 锁版本“暂时绕过”
禁止在不同服务中对同一包使用 dev-master 或 dev-main，这种“活版本”会让各服务实际加载的代码随时漂移
用 composer show example/shared-config 检查实际安装版本，比看 composer.json 更可靠；配合 composer depends example/shared-config 查谁在拖慢升级
共享库发版必须语义化（SemVer），重大变更（如 v2.x）必须配套提供 BC layer 或迁移指南，否则微服务团队会集体卡在升级上

共享库不是“扔进 Packagist 就完事”，它的版本策略、autoload 路径、私有源配置，每个环节断掉，微服务就会在某个深夜突然开始 500。最常被跳过的其实是 auth.json 权限和 dump-autoload 这两步。