如何减少Composer update对网络下载的依赖-composer-PHP中文网

Composer update默认必须联网，因其强制刷新packages.json元数据以重算依赖图，无法跳过；彻底离线需设COMPOSER_DISABLE_NETWORK=1并配合--no-plugins --no-scripts --no-autoloader --no-install，且依赖已预置本地cache或path仓库。

如何减少composer update对网络下载的依赖

Composer update 本身无法完全脱离网络下载，但可以大幅压缩其联网行为——核心是绕过元数据刷新、复用本地缓存、强制走 dist 包、并切断所有远程 fallback 路径。

为什么 update 默认必须联网

即使 vendor/ 和 composer.lock 都完整，composer update 仍会默认请求 https://repo.packagist.org/packages.json（或你配置的镜像源）来刷新整个包索引。这不是“检查更新”，而是依赖图重计算的前置步骤，无法跳过，除非显式禁用元数据加载机制。

常见错误现象：[Composer\Downloader\TransportException] Could not fetch https://repo.packagist.org/packages.json，哪怕你只是想升级一个已知存在的本地包。

它不看 vendor/ 是否存在，只认元数据是否新鲜
即使你只改了 composer.json 中的一个版本号，update 仍会拉全量 packages.json
--no-scripts 或 --no-autoloader 对这一步完全无效

用 --lock 和 --no-install 替代 update（最轻量联网方案）

如果你只是想让 composer.lock 同步 composer.json 的版本变更（比如手动改了 "monolog/monolog": "^3.0"），但不想触发任何下载，就别用 update，改用：

composer update --lock --no-install

这个组合的效果是：

--lock：仅重写 composer.lock，不碰 vendor/
--no-install：跳过所有包下载和解压逻辑
仍然会联网拉取 packages.json —— 但只拉一次，且不校验每个包的 dist ZIP

注意：--lock 不会验证新版本是否存在，它只按你写的版本字符串生成 lock 条目；后续 install 时才真正校验。所以该命令适合 CI 中“预生成 lock 文件”的场景，而非日常开发。

Academic Composer Upload

辅助学术写作，包括查找资料、生成大纲、引用扩写及润色风格，同时确保引用规范。

下载

彻底离线 update 的唯一可行路径：提前准备 + path 仓库

真要零网络执行 composer update，必须放弃从 packagist 拉包的模式，改用 path 类型仓库。这意味着：

你得提前把目标包（如 laravel/framework）的指定版本 ZIP 或源码目录，放在本地某路径下（例如 ./packages/laravel-framework）
在 composer.json 中声明仓库："repositories": [{"type": "path", "url": "./packages/laravel-framework"}]
该包在 require 中必须带 -dev 或 -x.y.z 明确后缀，否则 Composer 会忽略 path 仓库
运行 COMPOSER_DISABLE_NETWORK=1 composer update laravel/framework --no-plugins --no-scripts

关键限制：path 仓库只对「你明确列出的包」生效，不能自动覆盖其传递依赖；如果 laravel/framework 依赖 symfony/console，而你没也给它配 path，update 仍会尝试联网找 symfony/console。

容易被忽略的坑：autoload 重建与插件干扰

即使你成功绕过了下载，composer update 默认仍会触发 autoload 重建和插件初始化，这两者都可能隐式联网：

phpstan/extension-installer 等插件会在 post-update-cmd 中探测远程扩展注册表
某些自定义 autoload-dev 规则（如扫描 tests/ 下所有 *Test.php）可能触发文件系统遍历失败，被误判为需要远程补全
--no-autoloader 不能和 --lock 共存，但可与 --no-install 同时用；若你不需要立即运行代码，加它能跳过所有 autoload 相关风险

最稳的离线 update 命令其实是：COMPOSER_DISABLE_NETWORK=1 composer update --no-plugins --no-scripts --no-autoloader --no-install，前提是你的 composer.lock 已人工维护好、所有依赖包 ZIP 都在 cache-files-dir 里备妥、且没用任何 require-dev 里的动态脚本。