De acuerdo con la documentación del compositor , el archivo composer.lock siempre debe registrar las versiones exactas de los paquetes instalados en el proyecto.
Sin embargo, a veces puedo ver que algunos paquetes en composer.lock no tienen un número de versión exacto sino que tienen un valor de rango como "^7.0 || ^8.0" .
¿Qué significa eso?
Es probable que no esté leyendo la versión de los paquetes instalados, que de hecho se especifica como una versión discreta (por ejemplo, 4.1.5 , sin rango, solo una restricción de versión específica), sino los requisitos de uno de los paquetes instalados.
Si está mirando el contenido de los packages , dentro de composer.lock , solo los paquetes raíz tendrán un número de versión discreto. P.ej:
{ "_readme": "foo bar", "content-hash": "1098098s908019foobar", "packages": [ { "name": "somevendor/somepackage", "version": "1.2.3" // <-- specific version, no range // etc } ] } Pero para cada paquete se incluyen las secciones require y require-dev (entre otras cosas). Entonces, si sigue profundizando, verá cosas como:
{ "name": "somevendor/somepackage", "version": "1.2.3" <-- specific version, no range "source": { "type": "git", "url": "https://github.com/somevendor/somepackage.git", "reference": "a035d3d2de85f762233aedbc6522f22ee29e5252" }, "dist": { "type": "zip", "url": "https://api.github.com/repos/somevendor/somepackage/zipball/a035d3d2de85f762233aedbc6522f22ee29e5252", "reference": "a035d3d2de85f762233aedbc6522f22ee29e5252", "shasum": "" }, "require": { "php": "^7.0 || ^8.0" // <-- like here } } }etc.
Composer utiliza esa información al instalar/actualizar nuevos paquetes, por lo que no es necesario recorrer todos los archivos composer.json del paquete cada vez.
Pero el número de versión específico para cada paquete instalado se declara correctamente en composer.lock .