Composer 基本使用：从依赖安装到常用命令一次讲清

沈知远

发布时间：2026-08-25| 164人浏览过

原创

前言

在很多 PHP 项目里，Composer 是天天会用到的工具，但不少人只会执行命令，却分不清 composer.json、composer.lock 和 vendor 各自负责什么。本文用一个安装 monolog/monolog 的小例子，把依赖安装、自动加载和常用命令串起来讲清楚，帮助你判断哪些文件该提交、哪些目录别手改、不同命令又该在什么场景下使用。

在 PHP 项目里，Composer 往往是最先接触、也最容易“会用但没真正理解”的工具。本文从安装一个日志库开始，按项目文件、自动加载和常用命令三部分拆开说明，帮助你判断每个文件该不该改、什么时候该用 install、什么时候该用 update。

先从一个依赖安装示例开始

如果项目需要引入日志库 monolog/monolog，最直接的做法就是在项目目录执行下面这条命令：

composer require monolog/monolog

执行完成后，Composer 会在项目里生成或更新 composer.json。这个文件的核心作用，是描述当前项目依赖了哪些库、依赖版本约束是什么，同时也可以保存项目的一些元数据。像 Laravel、Yii 这类主流 PHP 框架项目，通常都会自带这个文件。

对日常开发来说，可以把这一步理解为：你不是手动下载第三方包放进项目，而是把依赖关系交给 Composer 统一管理。

Composer 相关文件各自负责什么

一个启用了 Composer 的 PHP 项目里，最关键的通常是下面三个目录或文件：

Composer 三个核心文件与目录的关系图，突出 composer.json、composer.lock 和 vendor 的分工 — **Composer 三个核心文件怎么分工**把声明文件、锁文件和依赖目录放到一张图里，更容易理解 Composer。

vendor
composer.json
composer.lock

vendor：第三方依赖的实际存放位置

vendor 目录里放的是已经安装到本地项目中的依赖库，也就是项目所有第三方代码的默认位置。这个目录通常不建议手动修改，因为每次执行依赖安装或更新时，里面的内容都可能被重新覆盖。

Composer 自动加载与日志库使用流程图，展示引入 vendor/autoload.php 后调用 Monolog 写日志的路径 — **自动加载把库接进项目**这张图对应最小使用路径：加载自动加载文件、实例化库、最终把日志写到目标文件。

composer.json：项目依赖关系的声明文件

composer.json 记录的是项目需要哪些依赖、版本要求是什么，以及其他与 Composer 相关的配置数据。可以把它看成“项目希望安装什么”的声明。

composer.lock：把实际安装版本锁定下来

当依赖安装完成后，Composer 会把当次解析出的确切版本写入 composer.lock。这个文件的意义非常直接：它能锁定项目使用的具体依赖版本，避免不同开发者、不同环境拉到不一致的包。

这也是多人协作里非常重要的一点。提交 composer.lock 后，团队成员在开发环境执行安装时，通常就能拿到相同版本的依赖；部署到生产环境时，也更容易保持与开发环境一致。

原文这里特别提到，在执行 composer install package_name 命令时会优先检查锁文件是否存在；如果存在，就按锁文件中的指定版本安装，而不是重新依据 composer.json 做一次版本解析。对于理解 Composer 的使用习惯来说，重点就在于：lock 文件存在时，安装结果会更稳定、更可重复。

安装后怎么在项目里直接使用库

Composer 不只是管理依赖下载，还会帮项目生成自动加载能力。安装依赖后，你会得到一个 vendor/autoload.php 文件，项目只要引入它，就能直接使用这些库提供的类，而不需要自己逐个 require 对应文件。

例如在项目中创建一个 index.php：

<?php

require __DIR__ . '/vendor/autoload.php';

$log = new MonologLogger('name');
$log->pushHandler(new MonologHandlerStreamHandler('logs/app.log', MonologLogger::DEBUG));
$log->info('Foo');

然后执行：