Composer

Vous savez déjà inclure un fichier PHP dans un autre. Tant que le projet tient en cinq fichiers, cela suffit. Au-delà, trois problèmes apparaissent que require ne sait pas résoudre.

La vie sans Composer

Vous voulez écrire des journaux applicatifs. Vous téléchargez une bibliothèque, vous la posez dans un dossier, et vous écrivez :

<?php
require_once 'libs/Monolog/Logger.php';
require_once 'libs/Monolog/Handler/StreamHandler.php';
require_once 'libs/Monolog/Handler/AbstractHandler.php';
require_once 'libs/Psr/Log/LoggerInterface.php';
// ... et les vingt-cinq autres fichiers dont ceux-ci dépendent

Trois problèmes, et un seul outil

Composer règle les trois d’un coup. Il lit une liste de ce que VOUS voulez, calcule tout ce que cela entraîne, télécharge l’ensemble, écrit un chargeur automatique, et grave les versions exactes obtenues.

Ce que Composer n’est pas

• Ce n’est pas un installeur de PHP : il suppose PHP déjà là.
• Ce n’est pas un dépôt de code : les paquets vivent sur GitHub, Composer les y va chercher. Packagist n’est qu’un annuaire.
• Ce n’est pas un outil de déploiement : il prépare vendor/, il ne publie rien.

Packagist, l’annuaire public, recensait 463 643 paquets le 16 août 2026 (source : packagist.org/statistics.json).

Composer est un programme PHP. Il s’installe une fois pour toute la machine, et se met à jour tout seul.

Vérifier PHP d’abord

php --version

PHP 8.4.22 (cli) (built: Jun  3 2026 01:12:32) (NTS)

Composer 2.10 exige PHP 7.2.5 au minimum (contrainte ^7.2.5 || ^8.0, lue le 16 août 2026 sur repo.packagist.org). Si php --version échoue, installez PHP avant d’aller plus loin.

macOS et Linux

# Homebrew, sur macOS
brew install composer

# Ou l'installeur officiel, partout
curl -sS https://getcomposer.org/installer | php
sudo mv composer.phar /usr/local/bin/composer

Windows

Téléchargez Composer-Setup.exe depuis getcomposer.org/download. L’installeur trouve votre PHP et ajoute composer au PATH.

Vérifier

composer --version

Composer version 2.8.9 2025-05-13 14:01:37

Au 16 août 2026, la version stable publiée est la 2.10.2, et la 2.2.29 est la version à support long (source : getcomposer.org/versions). composer self-update met à jour Composer lui-même.

composer init pose quelques questions et écrit un composer.json. Vous pouvez aussi écrire ce fichier à la main : ce n’est que du JSON.

mkdir mon-projet && cd mon-projet
composer init

Répondez aux questions — nom du paquet, description, type, licence. Le résultat :

{
    "name": "stjo/demo",
    "description": "Démonstration",
    "type": "project",
    "require": {}
}

Les champs, un par un

Ce que Git doit ignorer

# .gitignore
/vendor/

vendor/ ne se commite pas : il se reconstruit à l’identique à partir de composer.lock. Ce sont composer.json ET composer.lock qui vont dans Git — la section 4 explique pourquoi les deux.

Ajouter un paquet

composer require monolog/monolog

Using version ^3.10 for monolog/monolog
./composer.json has been updated
Running composer update monolog/monolog
Loading composer repositories with package information
Updating dependencies
Lock file operations: 2 installs, 0 updates, 0 removals
  - Locking monolog/monolog (3.10.0)
  - Locking psr/log (3.0.2)
Writing lock file
Installing dependencies from lock file (including require-dev)
Package operations: 2 installs, 0 updates, 0 removals
  - Installing psr/log (3.0.2): Extracting archive
  - Installing monolog/monolog (3.10.0): Extracting archive
Generating autoload files
No security vulnerability advisories found.

Lisez cette sortie de haut en bas : Composer choisit une contrainte de version (^3.10), l’inscrit dans composer.json, calcule l’ensemble des paquets nécessaires, grave le résultat dans composer.lock, installe, écrit le chargeur automatique, et vérifie les alertes de sécurité. Vous n’aviez demandé qu’un paquet : psr/log est arrivé parce que Monolog en dépend.

Les outils de développement à part

composer require --dev phpunit/phpunit

Le drapeau --dev range le paquet dans require-dev. La différence est considérable : dans le bac à sable de cette page, le projet compte 29 paquets avec les outils de développement, et 2 sans.

Retirer un paquet

composer remove monolog/monolog

Composer retire aussi les dépendances devenues inutiles — mais jamais celles dont un autre paquet a encore besoin.

composer.lock : le fichier qui fait la différence

C’est le point que l’on comprend le plus tard, et celui qui coûte le plus cher à ignorer. Les deux fichiers ne disent pas la même chose.

D’où la règle : composer.lock se commite, toujours, y compris pour une application. C’est lui qui garantit que votre machine, celle de votre collègue et le serveur exécutent exactement le même code.

Les trois commandes qu’on confond

composer install   # lit composer.lock, installe EXACTEMENT ces versions
composer update    # ignore le lock, recalcule, RÉÉCRIT le lock
composer require   # ajoute un paquet, puis fait un update de ce paquet seul

Installing dependencies from lock file (including require-dev)
Verifying lock file contents can be installed on current platform.
Package operations: 29 installs, 0 updates, 0 removals
  - Installing psr/log (3.0.2): Extracting archive
  - Installing monolog/monolog (3.10.0): Extracting archive
  ...
Generating autoload files

SemVer en trois nombres

Un numéro de version comme 3.10.2 se lit MAJEUR.MINEUR.CORRECTIF. Le contrat est simple : le correctif corrige sans rien casser, le mineur ajoute sans rien casser, le majeur a le droit de tout casser.

Les contraintes

Voir ce qui a vieilli

composer outdated --direct

Legend:
! patch or minor release available - update recommended
~ major release available - update possible
phpunit/phpunit 11.5.56 ~ 13.3.1 The PHP Unit Testing framework.

--direct ne montre que VOS dépendances, pas celles de vos dépendances. Ici, PHPUnit 13 existe, mais la contrainte ^11.0 interdit d’y aller : c’est un changement de majeur, il se décide, il ne se subit pas.

Inspecter un paquet

composer show monolog/monolog

name     : monolog/monolog
descrip. : Sends your logs to files, sockets, inboxes, databases and various web services
keywords : log, logging, psr-3
versions : * 3.10.0
released : 2026-01-02, 7 months ago
type     : library
license  : MIT License (MIT)
homepage : https://github.com/Seldaek/monolog

Jusqu’ici Composer a chargé le code des AUTRES. Il peut charger le vôtre, et c’est le moment où l’on cesse d’écrire des require.

La règle PSR-4

PSR-4 fait correspondre un préfixe de namespace à un dossier. Ensuite, chaque niveau de namespace est un dossier, et le nom de la classe est le nom du fichier, à la casse près.

{
    "autoload": {
        "psr-4": {
            "Stjo\\Demo\\": "src/"
        }
    }
}

Le fichier src/Chrono.php déclare alors la classe Stjo\Demo\Chrono :

<?php

namespace Stjo\Demo;

class Chrono
{
    public function __construct(private float $depart = 0) {}

    public function demarrer(): void
    {
        $this->depart = microtime(true);
    }

    public function tempsEcoule(): float
    {
        return round(microtime(true) - $this->depart, 3);
    }
}

Régénérer le chargeur

composer dump-autoload

À faire après toute modification de la section autoload. Pas après l’ajout d’une classe : PSR-4 la trouve toute seule.

Un seul require, et un seul

<?php
require 'vendor/autoload.php';

use Stjo\Demo\Chrono;

$chrono = new Chrono();
$chrono->demarrer();
usleep(120000);
echo "Temps écoulé : {$chrono->tempsEcoule()} s\n";

Temps écoulé : 0.124 s

vendor/autoload.php est le seul require d’un projet moderne. Tout le reste — vos classes comme celles de Monolog — arrive par les namespaces.

autoload-dev

Vos classes de test ne servent pas en production. Elles ont leur propre section, ignorée par composer install --no-dev :

{
    "autoload-dev": {
        "psr-4": {
            "Stjo\\Demo\\Tests\\": "tests/"
        }
    }
}

Composer peut retenir vos commandes de projet, pour que personne n’ait à les deviner.

Déclarer

{
    "scripts": {
        "test": "phpunit",
        "verifier": ["@test", "@php -l src/Chrono.php"]
    }
}

Lister et exécuter

composer run-script --list
composer test

scripts:
  test     Runs the test script as defined in composer.json
  verifier Runs the verifier script as defined in composer.json

Un tableau enchaîne plusieurs commandes. @test appelle un autre script du même fichier, @php appelle le PHP que Composer utilise — et non celui qui traînerait dans le PATH.

Un hook

Certains noms sont réservés : Composer les déclenche lui-même.

{
    "scripts": {
        "post-install-cmd": "@php bin/preparer-cache.php"
    }
}

post-install-cmd s’exécute après chaque composer install. Il en existe une quinzaine — pre-update-cmd, post-autoload-dump… L’écriture avancée de scripts, les hooks de plugins et la composition de tâches viendront dans un cours Composer avancé, encore à écrire.

La commande

composer install --no-dev --optimize-autoloader

Installing dependencies from lock file
Package operations: 2 installs, 0 updates, 0 removals
  - Installing psr/log (3.0.2): Extracting archive
  - Installing monolog/monolog (3.10.0): Extracting archive
Generating optimized autoload files

Vérifier les alertes de sécurité

composer audit

No security vulnerability advisories found.

composer audit confronte votre composer.lock à la base d’avis de sécurité de Packagist. Il ne prouve pas que votre code est sûr : il dit seulement qu’aucune faille CONNUE n’a été publiée pour les versions que vous utilisez. À lancer avant chaque mise en production, et dans votre intégration continue.

Ce qui va dans Git, et ce qui n’y va pas

• composer.json — oui, toujours.
• composer.lock — oui, toujours, y compris pour une application.
• vendor/ — non : il se reconstruit à l’identique depuis le lock.
• Les fichiers de configuration contenant des secrets — non, jamais.

Pour aller plus loin sur la sécurité

Deux chemins, et ils ne répondent pas à la même question. Pour COMPRENDRE les failles que ces avis décrivent — injection SQL, XSS, désérialisation — le cours des vulnérabilités les montre une par une. Pour SÉCURISER votre propre code, celui de la sécurisation des formulaires part du geste quotidien.

• 🛡️ Comprendre les failles
• 🔐 Sécuriser son code