Composer est le gestionnaire de dépendances de l'écosystème PHP : il installe les librairies dont un projet a besoin, résout leurs versions compatibles et verrouille le résultat. Apparu en 2012, il a structuré le PHP moderne — frameworks, librairies et outillage se consomment aujourd'hui comme des paquets versionnés, publics ou privés.
Des Versions Sous Contrat
Chaque dépendance est déclarée avec une contrainte de version (^4.1 : toute 4.x à partir de 4.1, jamais la 5) qui s'appuie sur le versioning sémantique. Les mises à jour mineures passent sans intervention ; les ruptures exigent un choix explicite. Le même mécanisme sert les librairies internes, publiées sur un registry privé.
Le Lock, Garde-Fou Oublié
Le fichier composer.lock fige les versions exactes installées : c'est lui qui garantit que la CI, les collègues et la production exécutent le même code au bit près. Ne pas le versionner, l'ignorer en CI ou installer sans lui réintroduit l'aléatoire — deux builds du même commit peuvent alors embarquer des dépendances différentes.
La question n'est jamais « faut-il utiliser Composer ? » mais « vos contraintes de version et votre lock sont-ils maîtrisés ? » — c'est là que se joue la reproductibilité des déploiements.