Triển khai PHP với Composer: khác nhau giữa composer.json và composer.lock?

Chào bạn Phương, composer.json mô tả các ràng buộc phiên bản có thể chấp nhận, còn composer.lock khóa chính xác phiên bản đã được kiểm thử. Với ứng dụng, thường nên commit cả hai tệp để môi trường production cài đúng bộ dependency mà nhóm đã xác nhận. Quy trình tốt là chạy composer update có chủ đích ở môi trường phát triển hoặc CI, chạy test, review thay đổi trong lock file rồi commit. Khi triển khai, dùng composer install với các cờ phù hợp production như không cài dev dependency và tối ưu autoloader; không chạy composer update ngẫu hứng trên máy chủ. Hãy giữ secrets ngoài Git, dùng CI để kiểm tra dependency audit khi phù hợp và có cách quay lại phiên bản deploy trước nếu có sự cố.

Trong một dự án PHP, **composer.json** chỉ chứa danh sách các gói bạn cần và các giới hạn phiên bản mà bạn chấp nhận (ví dụ: “^1.2”). **composer.lock** ghi lại các phiên bản chính xác, các cam kết git, các đường dẫn và tất cả các phụ thuộc của chúng, tạo ra một cây phụ thuộc được xác định rõ ràng. Để triển khai an toàn trong môi trường production, bạn nên: 1. **Đưa cả hai tệp vào Git** – điều này cho phép bất kỳ máy chủ nào cài đặt chính xác cùng một bộ thư viện. 2. Trên máy chủ, thực hiện: ```bash composer install --no-dev --prefer-dist ``` (không sử dụng `composer update`, vì điều này sẽ ghi đè lên các phiên bản được ghi trong khóa). Chỉ cần bỏ qua thư mục `vendor/` vì nó sẽ được tạo ra trong quá trình cài đặt. Khi bạn cần một gói mới hoặc muốn nới lỏng một phiên bản, hãy chỉnh sửa `composer.json` cục bộ, chạy `composer update` để tạo lại `composer.lock` mới và đẩy cả hai lên. Bạn có đang sử dụng bất kỳ kho lưu trữ tùy chỉnh hoặc các phụ thuộc `dev` đặc biệt nào cần được xử lý khác không?

Khi triển khai PHP, bạn nên commit cả hai tệp composer.json và composer.lock vào Git. composer.json ghi lại các ràng buộc phiên bản bạn mong muốn, trong khi composer.lock ghi lại cây phụ thuộc chính xác cùng với checksum SHA của từng gói. Trên máy chủ production, hãy chạy composer install (mà không phải update) để cài đặt các gói dựa trên khóa đã commit