Composer安装新包时如何保留原有composer.lock文件内容？

问题根源 #

你修改composer.json时，将原有require区块的所有依赖替换成了仅包含firebase/php-jwt，再加上禁用了Packagist仓库，Composer无法找到原有包的有效来源，因此判定这些包不再被项目依赖，最终从composer.lock中移除所有原有条目。

解决方案 #

1. 保留原有依赖配置

修改composer.json时，不要替换原有require内容，仅在其中新增新包的依赖项。示例如下：

{
    "repositories": [
        {
            "packagist": false
        },
        {
            "type": "path",
            "url": "/path/to/artifact/"
        }
        // 若原有包也来自本地路径，需在此添加对应仓库配置
    ], 
    "require": {
        // 保留所有原有包的依赖条目
        "cakephp/debug_kit": "2.2.9",
        "clue/stream-filter": "v1.6.0",
        "composer/installers": "v1.12.0",
        // ...其他50个原有包
        // 新增新包依赖
        "firebase/php-jwt": "^6.4"
    }
}

2. 使用精准的Composer命令更新

避免直接执行composer update（该命令会更新所有依赖，且在离线/仓库配置不全时移除无法验证的包），改用以下命令：

• 先添加新包依赖到composer.json（不立即更新）：

  php composer.phar require firebase/php-jwt:^6.4 --no-update
  

• 仅更新新包及其依赖，保留原有包的lock信息：

  php composer.phar update firebase/php-jwt --with-all-dependencies
  

3. 确保原有包的可访问性

如果原有包同样来自本地路径，需将这些包的路径也添加到repositories区块中；若原有包已存在于vendor目录，确保Composer能识别本地已安装的包（可通过composer check-platform-reqs验证）。

关键注意事项 #

• 若非所有依赖都能从本地获取，请勿禁用Packagist，否则Composer无法验证原有包的有效性，仍会移除相关条目。
• 若之前已覆盖了原有的composer.json或composer.lock，需先恢复原有配置（如有备份），或手动将原有包的依赖及版本号重新添加到composer.json中（版本号需与之前composer.lock中的一致）。

内容的提问来源于stack exchange，提问作者AlphaWolf