直接解析 vendor/composer/installed.json 是最快最准的统计方式，因其是 composer 安装完成后的落地快照，真实反映所有已安装包，且不区分 require/require-dev、不受配置干扰。
直接解析 vendor/composer/installed.json 是最快、最准的统计方式，它不依赖 lock 文件结构或 vendor 目录实际文件数，也不受 install-path 或 no-api 等配置干扰——只要包真被装进 vendor 了，它就一定出现在这个文件里。
为什么不用 composer.lock 来统计？
composer.lock 的 packages 数组只包含「被解析并锁定」的包，但可能漏掉以下情况：
- 某些包通过
replace或provide被虚拟替换，不会出现在packages中 -
packages-dev在非开发环境安装时默认不写入（即使 lock 文件里有） - 私有 VCS 包若用
dist+source混合模式，可能只记录一个入口，但实际落地两个目录
而 installed.json 是 Composer 安装完成后的「落地快照」，字段 name、version、type 都是真实存在的，统计结果 ≈ ls vendor/ | wc -l，但更可靠。
用 jq 统计 installed.json 中的包总数
前提是你已运行过 composer install 或 composer update，且 vendor/composer/installed.json 存在。
基础命令（排除平台包和项目自身）：
jq '[.packages[] | select(.type != "metapackage" and .type != "project")] | length' vendor/composer/installed.json
如果想包含 require-dev 包（默认已包含），无需额外操作——installed.json 本就不区分 require / require-dev，所有已安装包都在 .packages 数组里。
用于端到端视频本地化流程的轻量编排器，路由至四个专注子技能——/wjs-transcribing-audio、/wjs-translating-subtitles...
注意：installed.json 里没有 packages-dev 字段，所有包统一扁平存放；所以不需要像 lock 文件那样做合并去重。
过滤掉非代码包（如 ext-*、php）
很多 CI 或审计场景需要排除虚拟平台包，只算真正提供 PHP 类库的依赖。关键判断依据是 type 字段：
-
"library"：绝大多数你关心的包（如monolog/monolog） -
"metapackage"：纯聚合用途，无代码（如laravel/laravel） -
"project"：你的根项目本身 -
"ext-xxx"、"php"等：平台要求，installed.json里type通常为空或"metapackage"，靠name前缀也能筛
更严谨的过滤命令：
jq '[.packages[] | select(.type == "library" and (.name | startswith("ext-") | not) and (.name != "php"))] | length' vendor/composer/installed.json
Windows 用户没装 jq 怎么办？
用 PHP 一行解决（兼容所有系统，无需额外工具）：
php -r "\$i = json_decode(file_get_contents('vendor/composer/installed.json'), true); echo count(array_filter(\$i['packages'], fn(\$p) => \$p['type'] === 'library' && !str_starts_with(\$p['name'], 'ext-') && \$p['name'] !== 'php'));"
这段代码和上面 jq 命令逻辑完全一致，只是换语言执行。它不依赖任何扩展，PHP 7.4+ 原生支持。
容易被忽略的一点：有些项目会用 composer config --global store-auths false 或自定义 installer，导致 installed.json 缺失或格式异常——遇到空输出或解析错误，先检查该文件是否存在、是否可读、JSON 是否合法（可用 jq empty vendor/composer/installed.json 快速验证）。
