4、依赖管理：Conan 包管理器入门，vcpkg 集成，第三方库的引入与版本锁定

依赖管理，说白了就是管好你项目里那些“别人写的代码”。

我见过太多团队，项目跑不起来的原因不是代码写错了，而是第三方库版本对不上。你想想看，A 模块用了 Boost 1.75，B 模块用了 1.78，链接的时候符号冲突，一编译就是几百个错误。嗯，这种坑我踩过不止一次。

所以这一章，我们来聊聊 C++ 世界里两个主流的包管理工具：Conan 和 vcpkg。我会结合自己的实战经验，告诉你什么时候该用哪个，怎么用，以及如何把版本锁死，避免“昨天还能编译，今天就挂了”的尴尬。

4.1 为什么需要包管理器？

早些年做 C++ 项目，第三方库全靠手动下载、编译、配置环境变量。我记得有一次接手一个遗留项目，光找齐所有依赖就花了两天——有些库的下载链接都失效了。

包管理器解决了三个核心问题：

• 自动下载与编译：一条命令搞定，不用再满世界找库
• 版本管理：每个依赖可以指定精确版本，避免“隐式升级”
• 传递依赖：你依赖的库，它自己也有依赖，包管理器会自动处理

你可能会问：“那我用 Git submodule 行不行？” 行，但很痛苦。Submodule 只解决了“代码在哪里”的问题，没解决“怎么编译、怎么链接、版本怎么对齐”的问题。包管理器才是正解。

4.2 Conan 包管理器入门

Conan 是我个人比较偏好的工具。它的设计思路很清晰：用 Python 写配置，支持多平台，而且对 CMake 集成非常友好。

4.2.1 安装与基本概念

安装很简单，一条 pip 命令：

pip install conan

Conan 有几个核心概念你得先搞明白：

• conanfile.txt：项目的依赖描述文件，类似 requirements.txt
• conanfile.py：更高级的 Python 脚本，可以自定义构建逻辑
• profile：编译配置，比如编译器版本、C++ 标准、架构等
• remote：包仓库，默认是 conancenter，也可以自建私有仓库

4.2.2 实战：用 Conan 管理一个项目

假设我们要用 fmt 库和 spdlog 库。先写一个 conanfile.txt：

[requires]
fmt/10.1.1
spdlog/1.12.0

[generators]
CMakeDeps
CMakeToolchain

[layout]
cmake_layout

然后执行：

conan install . --output-folder=build --build=missing

这条命令会下载 fmt 和 spdlog，并生成 CMake 能直接使用的配置文件。在 CMakeLists.txt 里这样引用：

cmake_minimum_required(VERSION 3.24)
project(MyApp)

find_package(fmt REQUIRED)
find_package(spdlog REQUIRED)

add_executable(myapp main.cpp)
target_link_libraries(myapp PRIVATE fmt::fmt spdlog::spdlog)

编译时指定工具链文件：

cmake -B build -S . -DCMAKE_TOOLCHAIN_FILE=build/conan_toolchain.cmake
cmake --build build

你看，整个过程不需要手动下载任何东西。Conan 会自动从仓库拉取源码，编译成你当前平台可用的二进制，然后让 CMake 找到它们。

4.2.3 版本锁定：conan.lock

这是我最看重的功能。多人协作时，必须保证每个人用的依赖版本完全一致。

生成 lockfile：

conan lock create --reference=. --lockfile-out=conan.lock

之后所有人用这个 lockfile 安装：

conan install . --lockfile=conan.lock

这样，即使 conancenter 上更新了 fmt 10.2.0，你的项目依然会用 10.1.1。版本被锁死了，构建结果可复现。

4.3 vcpkg 集成

vcpkg 是微软出品的包管理器，和 Visual Studio 集成度极高。如果你主要用 Windows 开发，vcpkg 会让你很舒服。

4.3.1 安装与基本使用

克隆仓库，然后运行 bootstrap：

git clone https://github.com/Microsoft/vcpkg.git
cd vcpkg
./bootstrap-vcpkg.sh  # Linux/macOS
.\bootstrap-vcpkg.bat # Windows

安装库：

./vcpkg install fmt spdlog

和 CMake 集成有两种方式：

• 全局模式：cmake -B build -S . -DCMAKE_TOOLCHAIN_FILE=/path/to/vcpkg/scripts/buildsystems/vcpkg.cmake
• 清单模式：在项目里放一个 vcpkg.json

我个人推荐清单模式，因为它把依赖声明和项目绑定在一起，更清晰。

4.3.2 清单模式实战

在项目根目录创建 vcpkg.json：

{
  "name": "myapp",
  "version": "1.0.0",
  "dependencies": [
    "fmt",
    "spdlog"
  ]
}

然后 CMake 里加上：

cmake -B build -S . -DCMAKE_TOOLCHAIN_FILE=/path/to/vcpkg/scripts/buildsystems/vcpkg.cmake

vcpkg 会自动读取 vcpkg.json，下载并编译依赖。CMake 里直接 find_package 就能用。

4.4 Conan vs vcpkg：怎么选？

这个问题经常有人问我。我的建议是：

场景	推荐工具	理由
跨平台项目（Linux/macOS/Windows）	Conan	对 Linux 支持更好，profile 机制灵活
Windows + Visual Studio 为主	vcpkg	和 MSVC 集成度高，开箱即用
需要私有包仓库	Conan	自建 Artifactory 或 Conan Server 很方便
团队规模小，快速原型	vcpkg	上手简单，配置少
大型项目，严格版本控制	Conan	lockfile 机制成熟，传递依赖管理更精细

当然，两个工具并不互斥。我见过一些团队同时用 Conan 和 vcpkg——Conan 管核心依赖，vcpkg 管一些 Windows 特有的库。嗯，只要你能 hold 住，怎么都行。

4.5 第三方库引入的最佳实践

不管用哪个工具，有几个原则我建议你遵守：

• 永远锁定版本：不要用 latest 或 *，指定精确版本号
• 把 lockfile 提交到 Git：这样所有人、所有 CI 机器都用同一套依赖
• 定期更新依赖：别一锁就是三年，安全漏洞不等人
• 最小依赖原则：只引入你真正需要的库，别为了一个函数就拉一个庞然大物

4.6 知识体系总览

下面这张图帮你理清本章的核心逻辑：

4.7 小结

依赖管理这件事，说难不难，说简单也不简单。关键是养成好习惯：用工具、锁版本、定期更新。

我个人更倾向 Conan，因为它的跨平台能力和 lockfile 机制让我在多个项目间切换时很安心。但如果你主要做 Windows 开发，vcpkg 也完全够用。

记住一点：别让依赖成为你项目的短板。花半天时间把依赖管理搞好，后面能省下无数个“为什么编译不过”的夜晚。

---

公众号:蓝海资料掘金营，微信deep3321