composer如何查看包的反向依赖（谁在用这个包）？（packagist reverse dependency查询）

packagist官网不提供真实反向依赖数据，仅显示低覆盖率的“used by”数字；查本地依赖用composer depends vendor/package-name，查全网需github搜索或libraries.io等第三方服务。

packagist.org 上怎么查一个包被哪些项目依赖？

Packagist 官网本身不提供实时、完整的反向依赖（reverse dependencies）数据，它只显示“Used by”数字，点进去是空的或仅展示极少数知名项目——这不是 bug，是设计限制。这个数字来自 Packagist 自己抓取的公开 composer.json 文件（比如 GitHub 上标了 packagist topic 的仓库），覆盖率很低，不能当真。

用 composer show --tree 或 composer depends 查本地项目里的依赖关系

这两个命令只管你当前项目的依赖图，不查全网谁用了某个包。但它们对排查“为什么删不掉这个包”特别有用：

• composer depends vendor/package-name：列出当前项目中直接或间接依赖该包的所有包（含版本约束），这是最准的本地溯源方式
• composer show --tree vendor/package-name：反向展开依赖树，显示谁在 require 它、require 的条件是什么（比如 "^2.0" 还是 "dev-main"）
• 注意：composer depends 在 Composer 2.2+ 才内置；旧版本需装插件 hirak/prestissimo 或手动升级

想查全网真实使用情况？只能靠外部工具 + 折中方案

目前没官方 API，但有三个相对靠谱的替代路径：

• GitHub 搜索：filename:composer.json "vendor/package-name"，再加 language:json 限定，能搜到大量公开仓库的引用，但会漏掉私有库和未提交 composer.json 的项目
• https://www.php.cn/link/28fcea06661f13ebe9c87327f949f3a8：这是 Packagist 提供的页面，但只显示它主动收录的、打了 https://www.php.cn/link/28fcea06661f13ebe9c87327f949f3a8 topic 的项目，数量通常个位数
• 第三方服务如 Libraries.io：支持按包查下游项目，数据源更广（GitHub/gitlab/Bitbucket），但同步有延迟，且不保证 100% 覆盖 Composer 生态

为什么 packagist 不显示反向依赖？

因为 composer outdated 只检查当前锁文件里各包的可升级版本，它不扫描依赖图的上游——它只关心“我能不能升”，不关心“谁在用我”。想定位影响范围，必须先用 composer outdated 确认本地依赖链，再结合 GitHub 搜索评估全局影响。别指望一条命令解决所有问题。