composer show不加参数默认列出当前项目所有已安装的根依赖包(即composer.json中require和require-dev声明的包),按包名排序,显示vendor/name、版本号和描述,读取vendor/composer/installed.json,不包含子依赖。

composer show 不加参数就能列出全部已安装包
直接运行 composer show 就会输出当前项目 vendor/ 下所有已安装的包,包括它们的版本号和描述。它读取的是 vendor/composer/installed.json(或 installed.php),不是 composer.lock 的原始结构,所以结果更贴近实际加载状态。
常见误区是以为必须加 -a 或 --all 才能看全量——其实不加任何参数就是默认全量;--all 只在你同时想包含平台包(如 ext-curl、php)时才需要。
- 只看包名和版本:用
composer show --name-only(Composer 2.5+)或composer show | cut -d' ' -f1(Linux/macOS) - 想导出为纯文本列表方便 grep:加
--format=txt(等价于默认格式,但显式声明更稳) - 注意:如果项目没执行过
composer install或composer update,vendor/为空,composer show会报错Could not find package
composer show vendor/name 查看单个包的详细信息
比如查 monolog/monolog 的依赖树、源码地址、autoload 配置、可用版本等,就用 composer show monolog/monolog。它会显示该包在 vendor/ 中的实际安装版本,以及它的 composer.json 元数据快照。
这个命令不联网,也不查 Packagist,只读本地已安装包的元信息。如果你刚 require 了一个包但还没 install,它不会出现在结果里。
- 要看某个包能升级到哪些版本:加
--all,例如composer show monolog/monolog --all - 要确认是否被 root project 直接 require(而非间接依赖):检查输出里的
type字段是否为library,再结合composer.json的require段比对 - 如果提示
Package not found,先ls vendor/确认包目录是否存在,再检查大小写——Composer 包名区分大小写,guzzlehttp/guzzle≠GuzzleHttp/Guzzle
composer show --tree 输出依赖关系树
composer show --tree 是查看“谁依赖了谁”的最直接方式。它从 root project 开始,递归展开每一层依赖,缩进表示层级,一目了然哪几个包共同拉入了同一个子依赖(比如都依赖 psr/log)。
工作流任务拆解与模型编排技能。使用场景:(1) 收到复杂工作任务需要拆解为可执行步骤,(2) 需要为不同步骤选择最合适的模型,(3) 需要跟踪工作流进度和模型使用情况,(4) 长时间任务卡住需要问题诊断和解决方案。
但它不显示版本冲突或未满足的约束——那些得靠 composer why-not 或 composer prohibits。另外,--tree 默认只显示运行时依赖(require),不含开发依赖(require-dev),除非你加 --dev。
- 只看 dev 依赖的树:用
composer show --tree --dev - 想过滤出某类包(如所有
symfony/*):管道接grep,例如composer show --tree | grep "symfony/" - 注意:如果某个包被多个路径引入,
--tree只展示第一条路径,不会标出重复引用——这点容易误判依赖收敛效果
composer show 和 composer depends 的关键区别
composer show package/name 回答的是“这个包自己长什么样”,而 composer depends package/name 回答的是“谁在用它”。后者才是真正定位“删掉某个包会不会影响其他组件”的命令。
例如,你想确认 doctrine/annotations 是不是只有 doctrine/orm 在用,还是你的代码也直接 use Doctrine\Common\Annotations\*,就得用 composer depends doctrine/annotations。它会列出所有直接 require 它的包,包括 root project(显示为 root)。
- 加
--recursive可以看到间接依赖它的包(即“谁的谁”用了它),但输出易冗长,慎用 -
depends不显示版本号,只列包名;要查具体用了哪个版本,还得回到show或翻composer.lock - 一个常被忽略的细节:
depends默认不包含require-dev中的依赖,除非显式加--dev,否则可能漏掉测试工具链里的调用
真正难的不是记住这几个命令,而是理解 show 始终基于已安装状态,而 depends 和 prohibits 依赖的是 composer.json 的声明逻辑——两者不一致时,往往意味着 composer.lock 已过期或手动改过 vendor/。










