مدیریت وابستگی‌ها در PHP با Composer

در پروژه‌های مدرن PHP، مدیریت کتابخانه‌ها و پکیج‌های خارجی یکی از مهم‌ترین بخش‌های چرخه توسعه نرم‌افزار است. هر پروژه‌ای، از یک API ساده تا یک سیستم سازمانی پیچیده، معمولا به مجموعه‌ای از کتابخانه‌های third-party وابسته است. این وابستگی‌ها اگر به‌درستی مدیریت نشوند، می‌توانند منجر به ناسازگاری نسخه‌ها، افزایش بدهی فنی، و دشواری در دپلویمنت شوند.

ابزار استاندارد و پذیرفته‌شده در اکوسیستم PHP برای حل این مسئله، ابزار Composer است، یک مدیر وابستگی که امکان تعریف، نصب، به‌روزرسانی و مدیریت نسخه‌های پکیج‌ها را فراهم می‌کند.

کامپوزر چیست و چرا اهمیت دارد؟

کامپوزر یک ابزار مدیریت پکیج در PHP است که به شما اجازه می‌دهد وابستگی‌های پروژه را به صورت declarative تعریف کنید. برخلاف روش‌های قدیمی مثل کپی کردن دستی کتابخانه‌ها در پروژه، کامپوزر یک رویکرد استاندارد و قابل تکرار ارائه می‌دهد.

مزایای اصلی Composer:

1. مدیریت خودکار وابستگی‌ها

2. حل خودکار تداخل نسخه‌ها (Dependency Resolution)

3. استفاده از Semantic Versioning

4. بارگذاری خودکار کلاس‌ها (Autoloading)

5. یکپارچگی با اکوسیستم مدرن PHP

مفهوم Dependency Management در PHP

مدیریت وابستگی یعنی کنترل کتابخانه‌هایی که پروژه شما به آن‌ها نیاز دارد، همراه با نسخه‌های دقیق آن‌ها.

در یک پروژه ساده ممکن است شما از این کتابخانه‌ها استفاده کنید:

• HTTP Client

• Router

• ORM

• Logger

• Cache System

اگر هرکدام از این‌ها خودشان وابستگی‌های دیگری داشته باشند، یک درخت وابستگی (Dependency Tree) شکل می‌گیرد.

کامپوزر دقیقا همین درخت را مدیریت می‌کند.

فایل composer.json چیست؟

قلب هر پروژه کامپوزر فایل composer.json است. این فایل شامل اطلاعات زیر است:

• نام پروژه

• نسخه PHP مورد نیاز

• لیست وابستگی‌ها

• کانفیگ autoload

• اسکریپت‌ها (scripts)

نمونه ساده:

{
  "name": "mjpakzad/laravel-settings",
  "require": {
    "php": ">=8.1",
    "monolog/monolog": "^3.0"
  }
}

در این مثال:

• پروژه نیاز به PHP 8.1 یا بالاتر دارد

• از کتابخانه لاگینگ Monolog استفاده می‌کند
  

نصب Composer

کامپوزر معمولاً به دو شکل نصب می‌شود:

نصب سراسری (Global)

curl -sS https://getcomposer.org/installer | php
mv composer.phar /usr/local/bin/composer

بررسی نصب:

با دستور زیر می‌توان بررسی کرد که آیا کامپوزر نصب شده و اگر نصب شده کدام ورژن آن نصب شده است:

composer --version

نصب اولین پکیج

برای نصب یک پکیج:

composer require mjpakzad/laravel-settings

این دستور سه کار انجام می‌دهد:

1. دانلود پکیج

2. ثبت در composer.json

3. ایجاد composer.lock

فایل composer.lock چیست؟

یکی از مهم‌ترین بخش‌های مدیریت وابستگی در Composer فایل composer.lock است.

این فایل:

• نسخه دقیق همه وابستگی‌ها را قفل می‌کند

• باعث تکرارپذیری در محیط‌های مختلف می‌شود

تفاوت composer.json و composer.lock

• composer.json: تعریف وابستگی‌ها در این فایل انجام می‌شود.

• composer.lock: کار این فایل، قفل نسخه‌های نصب شده است.

Autoload در Composer

یکی از ویژگی‌های کلیدی Composer، autoloading است.

بدون autoload باید فایل‌ها را دستی include کنید:

require 'User.php';
require 'Order.php';

اما با Composer:

require 'vendor/autoload.php';

PSR-4 Autoloading

Composer از استاندارد PSR-4 پشتیبانی می‌کند:

{
  "autoload": {
    "psr-4": {
      "App\\": "src/"
    }
  }
}

این یعنی:

نیم اسپیس App\ به پوشه src/ مپ می‌شود.

ساختار پروژه استاندارد با کامپوزر

یک پروژه استاندارد معمولا ساختار زیر را دارد:

project/
│
├── src/
│   ├── Controllers/
│   ├── Services/
│
├── vendor/
├── composer.json
├── composer.lock
└── index.php

Semantic Versioning در Composer

کامپوزر از نسخه‌بندی معنایی (SemVer) استفاده می‌کند:

MAJOR.MINOR.PATCH

مثال:

• 1.0.0: نسخه اولیه

• 1.1.0: افزودن قابلیت

• 1.1.1: رفع باگ
  

اپراتورهای نسخه در Composer:

• ^1.2: سازگار با نسخه‌های 1.x

• ~1.2: تغییرات محدود

• *: هر نسخه

به این معنی که اگر هر کدام از اپراتورهای بالا استفاده شوند، در زمان نصب و آپدیت پکیج‌ها، محدودیت معادل آن اعمال خواهد شد.

به‌روزرسانی وابستگی‌ها

برای آپدیت پکیج‌ها:

composer update

برای یک پکیج خاص:

composer update mjpakzad/laravel-settings

تفاوت update و install:

• install: نصب دقیق نسخه‌های lock شده

• update: پیدا کردن نسخه‌های جدید و به‌روزرسانی lock

حذف پکیج‌ها

composer remove mjpakzad/laravel-settingd

این دستور:

• پکیج را حذف می‌کند

• composer.json را آپدیت می‌کند

• composer.lock را بازنویسی می‌کند
  

مشکلات رایج در مدیریت وابستگی‌ها

1. Conflict نسخه‌ها

گاهی دو پکیج نیاز به نسخه‌های متفاوت یک dependency دارند.

راه‌حل:

• بررسی محدودیت نسخه‌ها

• استفاده از نسخه‌های سازگار
  

2. سنگین شدن vendor

پوشه vendor ممکن است بسیار بزرگ شود.

راه‌حل:

• استفاده از production install:

composer install --no-dev

3. نصب ناسازگار بین محیط‌ها

اگر composer.lock وجود نداشته باشد، هر محیط نسخه متفاوتی نصب می‌کند.

راه‌حل:

• همیشه lock file را commit کنید
  

Composer در پروژه‌های بزرگ

در پروژه‌های enterprise، کامپوزر فقط یک ابزار ساده نیست، بلکه بخشی از معماری سیستم است.

استفاده در CI/CD

در pipeline معمولا:

composer install --no-dev --optimize-autoloader

چرا optimize-autoloader مهم است؟

• کاهش زمان load کلاس‌ها

• افزایش performance در production

کامپوزر و فریم‌ورک‌ها

لاراول

فریم‌ورک Laravel به شدت به Composer وابسته است.

هر پکیج Laravel از طریق Composer مدیریت می‌شود.

مثال:

composer create-project laravel/laravel app

بست پرکتیس‌ها در مدیریت وابستگی‌ها

1. همیشه composer.lock را commit کنید

بدون آن تکرارپذیری از بین می‌رود.

2. از version constraint منطقی استفاده کنید

بد:

*

خوب:

^2.0

3. از require-dev درست استفاده کنید

"require-dev": {
  "phpunit/phpunit": "^10"
}

4. مرتب‌سازی وابستگی‌ها

composer normalize

یا:

composer update --lock

5. حذف وابستگی‌های بلااستفاده

composer why-not package/name

تحلیل معماری Composer

Composer فقط یک package manager نیست، بلکه یک dependency resolution engine است.

این engine:

• گراف وابستگی‌ها را می‌سازد

• constraintها را حل می‌کند

• نسخه بهینه را انتخاب می‌کند

از نظر تئوری، این مسئله در دسته Constraint Satisfaction Problem (CSP) قرار می‌گیرد.

کامپوزر در پروژه‌های میکروسرویس

در معماری میکروسرویس:

• هر سرویس دیپندنسی مستقل دارد

• نسخه‌ها جدا مدیریت می‌شوند

• کاهش کاپلینگ بین سیستم‌ها

بهینه سازی پرفورمنس

برای بهبود پرفورمنس:

1. Autoloader optimization

composer dump-autoload -o

2. Classmap generation

composer dump-autoload --classmap-authoritative

3. Preloading در PHP 7.4+

کامپوزر می‌تواند با OPcache ترکیب شود.

امنیت در کامپوزر

1. بررسی vulnerability

composer audit

2. استفاده از منابع معتبر

Packagist اصلی:

• https://packagist.org

3. قفل کردن نسخه‌ها

برای جلوگیری از supply chain attack

Composer Scripts

Composer امکان اجرای script دارد:

"scripts": {
  "test": "phpunit",
  "post-install-cmd": [
    "php artisan optimize"
  ]
}

جمع‌بندی

کامپوزر یکی از ستون‌های اصلی توسعه مدرن PHP است. بدون آن، مدیریت وابستگی‌ها در پروژه‌های متوسط و بزرگ عملا غیرممکن یا بسیار پرهزینه خواهد بود.

درک صحیح از:

• dependency resolution

• version constraints

• autoloading

• lock file behavior
  

برای هر توسعه‌دهنده PHP ضروری است.

اگر Composer را صرفا یک ابزار نصب پکیج ببینیم، بخش بزرگی از قدرت آن را از دست داده‌ایم. در واقع کامپوزر یک لایه زیرساختی برای مدیریت پیچیدگی نرم‌افزار است.