Aucun projet PHP moderne ne s'écrit entièrement à la main. Envoi d'e-mails, génération de PDF, connexion à une API de paiement : on s'appuie sur des bibliothèques existantes, éprouvées et maintenues par la communauté. Composer est l'outil qui gère ces dépendances. Bien l'utiliser, c'est garantir la stabilité et la sécurité de votre application sur la durée.
Le rôle de composer
Composer lit un fichier de configuration qui liste les bibliothèques dont votre projet a besoin, avec les versions acceptées. Il télécharge ces bibliothèques, ainsi que leurs propres dépendances, et génère un chargeur automatique qui rend leurs classes disponibles dans votre code.
Sans composer, il faudrait télécharger chaque bibliothèque manuellement, vérifier leurs compatibilités et suivre leurs mises à jour une par une. Autant dire que la maintenance deviendrait vite ingérable.
Comprendre les contraintes de version
Dans le fichier de configuration, chaque dépendance est associée à une contrainte de version. La plus courante utilise le symbole accent circonflexe : elle autorise les mises à jour mineures et correctives, mais pas les versions majeures, qui peuvent casser la compatibilité.
Ce système repose sur le versionnage sémantique : une version corrective corrige des bugs, une version mineure ajoute des fonctionnalités sans rien casser, une version majeure peut introduire des changements incompatibles. Tant que les auteurs des bibliothèques respectent cette convention, composer vous protège des mauvaises surprises.
Le fichier lock, votre meilleur allié
Lors de l'installation, composer génère un second fichier, le fichier lock, qui enregistre la version exacte de chaque bibliothèque installée. C'est ce fichier qui garantit que votre serveur de production utilise exactement les mêmes versions que votre poste de développement.
Deux règles simples à retenir :
- Toujours versionner le fichier lock dans votre dépôt git ;
- Utiliser la commande d'installation en production, qui respecte le fichier lock, et réserver la commande de mise à jour au développement.
Surveiller les failles de sécurité
Les bibliothèques que vous utilisez peuvent contenir des failles découvertes après coup. Composer intègre une commande d'audit qui compare vos dépendances à une base de vulnérabilités connues et signale celles qui doivent être mises à jour.
Sur les serveurs que je gère, cet audit tourne automatiquement chaque jour pour chaque site, et une alerte remonte dès qu'une faille est détectée. Cela permet de corriger avant qu'un robot malveillant n'exploite la vulnérabilité. La base des avis de sécurité PHP est l'une des sources utilisées pour ces contrôles.
Mettre à jour régulièrement
La meilleure stratégie consiste à mettre à jour souvent et par petites étapes. Une mise à jour mensuelle des versions mineures prend quelques minutes et se teste facilement. Laisser passer deux ans, c'est se retrouver avec des dizaines de mises à jour en retard, dont certaines majeures, et un risque de régression bien plus important.
Avant chaque mise à jour, lancez vos tests automatisés, puis vérifiez les parcours importants de l'application. Si quelque chose casse, le fichier lock précédent permet de revenir en arrière immédiatement.
Optimiser pour la production
En production, quelques options de composer améliorent les performances : ne pas installer les outils de développement, et optimiser le chargeur automatique pour qu'il trouve les classes plus vite. Ce sont deux options à ajouter à la commande d'installation lors du déploiement, sans aucune modification du code.
Mon conseil
Traitez vos dépendances comme une partie vivante de votre application. Un projet dont les bibliothèques n'ont pas été mises à jour depuis des années accumule silencieusement des failles et une dette technique coûteuse. Avec un audit automatique, un fichier lock bien géré et des mises à jour régulières, composer devient un allié de la sécurité plutôt qu'une source d'inquiétude.
