如何使用Composer diff命令来检测依赖变更？

本文共计913个文字，预计阅读时间需要4分钟。

使用Composer时，若遇到跨环境或跨版本的依赖差异问题，可以通过以下步骤解决：

操作要点：

• 确保两边环境使用相同的 platform 配置（如 "php": "8.2.0"），否则 lock 文件会因平台约束不同而大量“假变更”
• 生产环境导出的 lock 文件建议重命名为 composer.lock.prod，本地执行 composer update --lock 后再比对
• 用 diff -u composer.lock composer.lock.prod | grep "^\([+-]\|\"name\"\|\"version\"\)" 聚焦关键字段，避免被哈希、dist URL 等噪声淹没

用 composer-lock-diff 快速生成可读差异

composer-lock-diff 是专为这个场景设计的工具，能跳过原始 JSON diff 的混乱输出，直接标出增删改包、版本升降、路径变化等语义级变动。

安装与使用：

• 全局安装：composer global require clue/composer-lock-diff
• 备份旧 lock：cp composer.lock composer.lock.bak
• 执行更新后运行：composer-lock-diff composer.lock.bak composer.lock
• 支持 Git 集成：在 CI 中可加 --format=github 输出 Markdown 表格，方便 PR 评论区查看

注意：它不解析 composer.json，只对比 lock 文件；若你改了 composer.json 但没 update，它不会提示“缺失”，只会显示 lock 未变。

为什么不用 composer show --tree 直接 diff？

composer show --tree 输出受终端宽度、排序方式、ANSI 颜色控制影响，直接 diff 极易失效。比如同一依赖树，一次输出按字母序排包名，另一次按深度优先，diff 会报满屏差异，但实际结构没变。

若真要用树状结构辅助判断，必须标准化输出：

• 去掉颜色：composer show --tree --no-ansi
• 强制扁平+排序（适合单包）：composer show --tree --no-ansi monolog/monolog | sort
• 完整依赖图仍推荐走 --locked --format=json + jq -S 格式化后再 diff

特别提醒：composer show 不带 --locked 时查的是当前 vendor/ + composer.json 声明，可能混入 path repo 或 dev 包，导致结果失真。

CI 中检测 lock 是否过期，别用 diff 文本

很多团队误用 diff -q composer.json composer.lock 判断同步性，这完全无效——两者语义不同，composer.json 是范围声明，composer.lock 是结构化快照，改一个 PHP 版本，lock 文件可能重排整个 packages 数组。

正确做法只有一条：composer install --dry-run

• 它不写文件、不下载，只校验 lock 是否能完全满足当前 composer.json
• 失败时明确报错，如 Your lock file does not contain the required package "foo/bar" 或 The lock file is not up to date
• CI 脚本中务必先清空 vendor/ 和临时 lock，再跑该命令，否则可能绕过校验

真正容易被忽略的是：这个命令只验证“lock 能否支撑 json”，不验证 lock 文件自身是否合法（比如手动编辑后哈希错乱）。所以生产部署前，还得加一道 composer validate。