Premium-WordPress-Plugins mit Composer installieren

Premium-Plugins kommen meist als ZIP-Dateien: Sie laden sie von der Kontoseite des Anbieters herunter und laden sie von Hand hoch, auf jeder Website, bei jedem Update. MeteorGPL stellt sie stattdessen als Composer-Pakete bereit, sodass sie wie Ihre übrigen Abhängigkeiten versioniert, in der Lock-Datei fixiert und installiert werden. Diese Anleitung führt ein Projekt vom Nullpunkt bis zum ersten composer require.

Schritt 1 — Ein Composer-Token erstellen#

Composer meldet sich mit einem Token am Repository an. Melden Sie sich bei MeteorGPL an, öffnen Sie Einstellungen → Composer-Tokens und erstellen Sie eines. Kopieren Sie es sofort: Es wird nur einmal angezeigt.

Ein Token lässt sich beim Erstellen beschränken: auf bestimmte Pakete, auf IP-Bereiche oder bis zu einem Datum. Für Ihren eigenen Rechner genügt ein unbeschränktes persönliches Token; für Server und Pipelines lesen Sie Composer-Tokens in CI.

Schritt 2 — Das Token für Composer hinterlegen#

composer config --global http-basic.composer.meteorgpl.ddev.site token <your-token>

Der Benutzername ist wörtlich das Wort token; das Passwort ist das Token selbst. Composer speichert das Paar in seiner globalen auth.json (~/.composer/auth.json oder $COMPOSER_HOME/auth.json), nie im Projekt, sodass es nicht versehentlich committet werden kann.

Schritt 3 — Das Repository zum Projekt hinzufügen#

Im Ordner, der die composer.json Ihres Projekts enthält:

composer config repositories.meteorgpl composer https://composer.meteorgpl.ddev.site

Schritt 4 — Composer mitteilen, wohin WordPress-Pakete gehören#

Plugins werden mit dem Typ wordpress-plugin veröffentlicht, Themes mit wordpress-theme. Das Paket composer/installers liest diese Typen und legt jedes Paket dort ab, wo WordPress es sucht. Für eine klassische WordPress-Installation sieht die composer.json so aus:

{
    "repositories": [
        { "type": "composer", "url": "https://composer.meteorgpl.ddev.site" }
    ],
    "require": {
        "composer/installers": "^2.0"
    },
    "extra": {
        "installer-paths": {
            "wp-content/plugins/{$name}/": ["type:wordpress-plugin"],
            "wp-content/themes/{$name}/": ["type:wordpress-theme"]
        }
    },
    "config": {
        "allow-plugins": { "composer/installers": true }
    }
}

composer/installers ist selbst ein Composer-Plugin, und Composer fragt nach, bevor es ein solches ausführt; allow-plugins beantwortet diese Frage im Voraus.

Schritt 5 — Den Paketnamen finden#

Jede Paketseite zeigt ihren Installationsbefehl. Die Namen folgen einer einzigen Regel:

Der Slug ist der eigene Ordnername des Plugins oder Themes, in Kleinbuchstaben, sodass das Paket in dem Verzeichnis landet, das der Anbieter ausliefert, und WordPress keinen Unterschied bemerkt.

Schritt 6 — Das Plugin einbinden#

composer require meteorgpl-plugin/elementor-pro:^3.21

Composer lädt die Version herunter, legt sie in wp-content/plugins/elementor-pro/ ab und hält die genaue Version und die Prüfsumme ihrer ZIP-Datei in composer.lock fest. Committen Sie composer.json und composer.lock: Jede andere Umgebung installiert dann mit composer install dieselben Bytes.

Die Caret-Beschränkung (^3.21) erlaubt composer update, neue Minor- und Patch-Versionen einzuspielen, nie aber die nächste Major-Version. Jede veröffentlichte Version bleibt verfügbar, daher ist der Weg zurück ein einziger Befehl:

composer require meteorgpl-plugin/elementor-pro:3.20.0

Schritt 7 — Mit Ihrem Lizenzschlüssel aktivieren#

An einem Paket wird nichts verändert: Der Lizenz-, Aktivierungs- und Update-Code des Anbieters wird so ausgeliefert, wie er ist. Aktivieren Sie das Plugin in WordPress mit dem Lizenzschlüssel, den Sie beim Anbieter gekauft haben; Support und der eigene Update-Kanal des Anbieters sind an diesen Schlüssel gebunden.

Bewahren Sie Ihre Schlüssel im Lizenzschlüssel-Tresor auf (Einstellungen → Lizenzschlüssel): Sie werden verschlüsselt gespeichert und auf der Seite des jeweiligen Pakets angezeigt, und Sie werden 30 und 7 Tage vor Ablauf eines Schlüssels erinnert.

Wenn etwas schiefgeht#

• 401 Unauthorized — Composer hat kein Token gesendet oder ein unbekanntes, abgelaufenes oder widerrufenes. Wiederholen Sie Schritt 2 mit einem neuen Token.
• 403 Forbidden — das Token ist gültig, aber das Konto hat keinen Repository-Zugang. Prüfen Sie Einstellungen → Abrechnung und Tarife oder fragen Sie den Inhaber Ihrer Organisation.
• Das Plugin ist in vendor/ gelandet — composer/installers fehlt, oder Composer durfte es nicht ausführen. Prüfen Sie require und allow-plugins aus Schritt 4.

Nächste Schritte#

• Sie arbeiten mit Bedrock? Lesen Sie MeteorGPL in einem Bedrock-Projekt verwenden.
• Sie installieren aus einer Pipeline? Lesen Sie Composer-Tokens in CI.
• Sie möchten von neuen Versionen und Sicherheitskorrekturen erfahren? Lesen Sie Plugins aktuell halten und auf Schwachstellen achten.
• Die Dokumentation behandelt Benennung, Versionen und die JSON-API auf einer Seite.