Composer依赖管理配置文件怎么使用-composer-PHP中文网

composer.json是composer依赖管理的唯一事实来源，必须置于项目根目录；它定义依赖、自动加载及元数据，缺失则无法触发安装、加载或版本锁定逻辑。

composer依赖管理配置文件怎么使用

composer.json 是 Composer 依赖管理的唯一事实来源，没它就等于没依赖管理——不是“不能用”，而是根本不会触发任何自动安装、加载或版本锁定逻辑。

composer.json 文件必须放在项目根目录

Composer 只会在当前工作目录下找 composer.json；它不会向上递归查找父目录，也不会识别子目录里的同名文件。如果你在 src/ 或 app/ 里放了 composer.json，composer install 会报错 No composer.json found in the current directory。

常见错误现象：

执行 composer require 后提示找不到 composer.json，其实是当前终端没进对目录
IDE 自动创建了 composer.json 但位置错了（比如建在 vendor/ 下），结果 vendor/ 被清空后配置也丢了

正确做法：

新建项目先 mkdir myproject && cd myproject，再 composer init 或手写 composer.json
已有代码想接入 Composer？把 composer.json 放到最外层，和 index.php 或 public/ 同级

require 和 require-dev 的区别直接影响部署行为

require 里的包会在 composer install 和 composer update 时无条件安装，生产环境也必须存在；require-dev 只在开发阶段需要，比如 phpunit/phpunit 或 friendsofphp/php-cs-fixer，运行 composer install --no-dev 时会被跳过。

容易踩的坑：

误把测试工具写进 require，上线后多装一堆无关代码，还可能引入安全风险
CI/CD 流水线没加 --no-dev，导致生产镜像体积膨胀、启动变慢
require-dev 里的包如果用了 PSR-4 自动加载，其类在生产环境不可用——这不是 bug，是设计如此

示例片段：

Pandas 配置文件报告生成器

使用ydata-profiling（前身为pandas-profiling）生成全面的数据质量报告，包含相关性分析、缺失值模式和基数检测。导出交互式HTML仪表板和JSON摘要。

下载

{
  "require": {
    "monolog/monolog": "^3.0"
  },
  "require-dev": {
    "phpunit/phpunit": "^10.5"
  }
}

autoload 配置不生效？多半是路径或命名空间写错了

PSR-4 自动加载靠 "autoload": {"psr-4": {...}} 声明，但它的值不是“随便写个路径就行”。格式必须是 "命名空间\": "相对路径/"，末尾斜杠不能少，路径是相对于 composer.json 所在目录的。

典型问题：

写成 "App\": "src"（缺斜杠）→ AppFoo 会去查 srcFoo.php，而不是 src/Foo.php
路径写成绝对路径如 /var/www/myapp/src/ → Composer 直接忽略该条目，不报错但也不加载
命名空间结尾没加双反斜杠，比如 "App": "src/" → PHP 解析时会当成常量 App，报 Class 'AppFoo' not found

验证方式：改完 composer.json 后必须运行 composer dump-autoload，否则新增的映射不会写入 vendor/autoload.php。

composer.lock 不该手动编辑，但必须提交进 Git

composer.lock 是 composer install 的执行依据，它记录了每个包的确切版本、哈希值和依赖树。你本地 composer update 后它会变，但只要不提交，队友 git pull 后运行 composer install 就还是旧版本。

关键点：

CI 环境、Docker 构建、线上部署都依赖 composer.lock —— 没它，install 会退化成 update，结果不可控
有人为“省事”删掉 composer.lock 再 install，这等于放弃版本锁定，团队协作和回滚能力直接归零
若需更新某一个包（如只升 guzzlehttp/guzzle），用 composer update guzzlehttp/guzzle，别碰 lock 文件本身