Composer怎么查找第三方库 Composer包搜索与评估实战-composer-PHP中文网

composer search在Composer 2.2+中已被彻底移除，因Packagist自2022年底关闭搜索API；替代方案是用curl直调https://packagist.org/search.json?q=关键词，并结合composer show -s和composer show --all验证本地兼容性与版本约束。

composer怎么查找第三方库 composer包搜索与评估实战

别用 composer search，它在 Composer 2.2+ 中已彻底移除；真正靠谱的查找路径是：Packagist 网站初筛 + composer show -s 和 composer show --all 验证本地兼容性。

为什么 `composer search` 会报错或返回空

这不是你配置错了，也不是镜像源问题——Packagist 自 2022 年底就关掉了搜索 API，Composer 2.2（2023 年发布）起直接删掉了这个命令。你现在敲 composer search log，得到的一定是 Command "search" is not defined。

旧教程里写的 --only-name、多关键词“与”逻辑、composer search laravel 能返回一堆结果……全不可信。哪怕降级到 Composer 1.x，返回结果也极简且无分页，实际没法用。

替代方案只有直调 Packagist 的 JSON 接口：curl -s "https://packagist.org/search.json?q=cache"
加 jq 格式化可读：curl -s "https://packagist.org/search.json?q=log" | jq '.results[] | {name: .name, desc: .description}'
注意：该接口只返回前 10 条，不支持分页；想多看几个，只能换词重试（比如试 redis client 而非仅 redis）

`composer show -s` 才是你本地环境的真实体检报告

composer show monolog/monolog 默认只输出一行：monolog/monolog 3.5.0。这毫无价值。真正要看 autoload 映射、PHP 版本要求、依赖约束、是否废弃，必须加 -s（即 --summary）。

Academic Composer Upload

辅助学术写作，包括查找资料、生成大纲、引用扩写及润色风格，同时确保引用规范。

下载

composer show -s monolog/monolog 会显示 autoload 下的 PSR-4 映射（如 "Monolog\": "src/"），这对 debug “Class not found” 极关键
包名必须带 vendor/package 格式，composer show monolog 一定失败；大小写敏感，Monolog/Monolog 也不行
如果包没装上，命令会明确报 Package monolog/monolog is not installed，不会静默忽略
配了阿里云镜像源？composer show 会走镜像，比 curl 更快、更准，且反映你真实可用的版本

`composer show --all` 揭露所有已发布版本和隐藏约束

--all 是实时请求 Packagist API，列出所有 tag、分支（包括 dev-main、v7.9.0、3.0.x-dev），不是本地缓存。它能帮你避开已知问题版本，也能看出作者是否还在维护。

--all（双横线）是唯一有效参数，-a 在 Composer 2.2+ 中已被弃用，加了也无效
输出里的 requires 和 conflicts 字段比 README 或文档更准：有些包在 conflicts 里锁死了 symfony/console:^6.0，哪怕你没装 symfony，只要其他依赖带了它，composer update 就会报冲突
注意 type 字段：library 表示纯工具；symfony-bundle 或 laravel-package 意味着强耦合框架生命周期，不能塞进非对应框架项目
拼错包名（如 guzzlehttp/guzle）时，默认静默失败；必须加 -v 才能看到 Package not found

别跳过 `composer why` 和 `composer depends`

一个包是不是“必要”，不取决于它功能多炫，而取决于它在你项目里有没有真实调用路径。这两个命令能撕开依赖幻觉。

composer why vendor/package-name 显示谁把它拉进来的（比如 laravel/framework → symfony/console → 你的包），确认它是不是传递依赖
composer depends --tree psr/log 查「谁依赖了 psr/log」，不是 composer show --tree psr/log（那是向下展开）
如果 composer why 返回空，说明没人显式 require 它，可能是历史残留或 dev-only 包；删前先确认 CI 是否用了它
运行 composer depends --tree 后输出太长？用 | grep -E "^[[:space:]]*└|^[[:space:]]*├" 保留缩进结构，避免误判层级

真正容易被忽略的是：Packagist 页面上那些不起眼字段——比如 require 里写的 "php": "^8.0"，表面看兼容 PHP 8.1，但其实不支持 PHP 8.2+ 的只读类语法；而这个细节，只有 composer show -s 或翻原始 composer.json 才能看见。