PHPのComposerの運用について

Question

PHPのライブラリ管理にComposerを使っています。
先日困ったことが起きました。

現状

composer installでcomposer.lockを使用しライブラリをインストール。
composer.jsonに設定を追加しcomposer.jsonを使用しcomposer update。

すると、composer.jsonにバージョン指定を*にしている幾つかのライブラリが後方互換性が担保されていなかったためシステムが壊れてしまいました。

現在の運用ではcomposer requireを使用してcomposer.lockを更新。
開発環境であってもcomposer updateは使用せず、新しくライブラリを追加する場合は、vendorをrmしてcomposer installをしています。

質問

まず、composer.jsonとcomposer.lockを一旦同期させたほうが良いかなと思っています。
composer.lockをコピーしcomposer.jsonとして使用することはできますでしょうか？
ただし、管理上不要なものは取り除きたいです。

私の考え

私の考えでは、開発環境ではcomposer.jsonを編集しcomposer updateを行いcomposer.lockを更新。
ステージングでは、composer installしか行わない。
というのが、王道なやり方なのかなと思っています。

みなさんのご意見をお聞きしたいです。

Answer 1

composer update 特定のパッケージ名
で特定のパッケージのみアップデートできますよ！

composer.lockファイルはアップデートしたらコミットしておいて、相手にはcomposer installをしてもらいましょう

Comments

[ponzu_647]

コメントありがとうございます！
はい、存じています。

composer update(引数なし)をウッカリ叩くとシステムが壊れるという現象は解決しません。
composer update(引数なし)を使用しないよう規約で縛るのはナンセンスだと思ってます。
ウッカリやってしまうものだと思うので。

composer update 特定のパッケージ名では、composer.lockを更新のみでcomposer.jsonを更新しません。
追加時にcomposer.jsonに追記してしまうとシステムが壊れてしまうことも解決しないです。

一旦、lockとjsonの乖離をなくさないことには解決しない問題だと思ってます。
そして、その方法がわからないです。

[fagai]

私のチームの場合だと、ステージングやプロダクション環境はJenkinsで自動デプロイなので基本的にcomposer updateがされることはないですね。
手動でやってるとなると、一個シェルを挟んだりして対応するとかでしょうか。。。

[fagai]

一個変わらないように出来る方法がありました。
現在おそらくdev-masterを指定していて、更新をしてしまうとそれも更新されてしまうのが問題なんですよね。
じつはこのdev-masterの後にコミット番号を書くことが出来ます。
dev-master#a2f5629fb0e6a85b749b3f49bd790b61381c14a9
みたいな感じです。このようにすることでコミット番号以降はupdateされないのでこの方法を使うのがよいかもしれません。

[ponzu_647]

お調べしていただいたみたいでありがとうございます。

私のチームも自動化しているのでステージングやプロダクションでcomposer updateされないです。
しかし、開発環境でcomposer updateされるとシステムが壊れます。

dev-masterは使用していません。
ライブラリのバージョン指定すべきところを*で運用していました。
かなりずさんな運用をしていたのでツケが来た感じです。

基本的には開発環境でcomposer installしか実行しません。
しかし、ライブラリを追加するためにcomposer.jsonを書き換えた後にcomposer updateをするとシステムが壊れます。

composer.jsonは運用として機能していません。
解決方法としては、壊れないバージョンをcomposer.jsonで指定することです。
しかし、composer.jsonにかなりの量のライブラリが記述されているため手動で変更していくのは現実的ではないです。
使われていないライブラリもたくさんあるはずですが。。。

かなり、レガシーになってしまってメンテもされていなかったという複雑な事情があります。

[fagai]

おろろろ・・・
となるとlockファイルはjsonで書かれているのでそれをパースして作りなおすしか無い気がしますね。しかしながらcomposer.jsonにしかかかれないような情報(例えば自身のライブラリの名前等)があるので、部分的に。
私がやるとすればcomposer.jsonファイルとcomposer.lockファイルを両方取得してそれをパースした後、composer.jsonファイルで*指定されているパッケージをcomposer.lockから検索して対象のコミット番号に書き換えて出力するとかでしょうか。

何かコンバートするようなツールがあればよかったんですが探ってみましたが見つかりませんでしたね。。。

[ponzu_647]

そうですよね。
私もそのようなやり方しか方法がないように思えます。

コメント頂いたおかげで自信持てました。
ありがとうございました！