composer中如何查看包的依赖关系_composer depends命令使用方法【详解】

composer depends 用于查看谁依赖某包，而非该包依赖谁；若无输出，说明无直接声明依赖，需用 composer show -t 查正向依赖或检查 installed.json 中的 replace/provides 字段。

composer depends 是查看某个包被哪些其他包依赖的命令，不是查它自己依赖了谁——这点容易搞反。

为什么 composer depends 查不到你预期的包？

常见错误是把方向弄反：它查的是「谁在用这个包」，而不是「这个包用了谁」。想查后者，该用 composer show --tree vendor/package 或 composer depends --tree（见下一条）。

• 如果执行 composer depends monolog/monolog 没输出，说明当前项目里没有包显式声明依赖它（哪怕 monolog 实际被装上了，也可能是被其他包间接拉入的）
• 它只检查 composer.json 中的 require 和 require-dev 字段，不解析自动加载或运行时依赖
• 默认只显示直接依赖者；加上 --tree 才展开层级

composer depends --tree 的实际效果和限制

加 --tree 后会尝试展示依赖链，但 Composer 本身不维护完整的反向依赖图谱，所以输出可能不完整或跳过某些路径。

• 输出结构类似：

  myapp/myproject └── symfony/console (dev-main)     └── monolog/monolog (2.10.0)

• 注意：这里 symfony/console 并不一定真的 require monolog/monolog，只是它在安装时把 monolog 拉进来了；depends --tree 实际依赖的是 Composer 的锁文件解析逻辑，稳定性有限
• 若提示 Command "depends" is not defined，说明你用的是 Composer 1.x —— depends 是 Composer 2.2+ 才引入的

替代方案：用 composer show -t 看正向依赖树

当你要确认一个包到底依赖了哪些东西，或者排查冲突来源时，composer show -t vendor/package 更可靠。

• composer show -t guzzlehttp/guzzle 会列出它所有递归依赖，包括版本约束
• 配合 grep 快速定位：composer show -t | grep -A5 "psr/log"
• 如果想看整个项目依赖图，直接 composer show -t（无参数），但输出可能很长，建议加 less 或重定向到文件

真正要查「谁在用某个包」时的实操建议

仅靠 composer depends 容易漏判，尤其在有 replace、provide 或 conflict 规则的包中。

• 先运行 composer depends --tree vendor/package 获取基础线索
• 再检查 vendor/composer/installed.json，搜索目标包名，看 replaced 和 provides 字段是否被其他包声明覆盖
• 如果怀疑是开发依赖引入的，加 --dev 参数：composer depends --dev vendor/package
• 遇到私有包或未提交到 Packagist 的包，depends 可能完全不可见——此时只能手动翻 composer.json 文件

依赖关系不是静态快照，它随 composer.lock 和平台配置浮动；看到的结果，永远只是当前锁文件所固化的一条路径。