composer depends可快速锁定直接引用者，composer show --tree则展示完整依赖链；前者输出简洁明确，后者揭示真实加载路径及版本固化情况，二者结合即可准确定位共享依赖来源。
直接看 composer depends 和 composer show --tree，就能准确定位共享依赖由谁引入——不需要猜，也不用翻源码。
用 composer depends 快速锁定直接引用者
这个命令专为“谁在用我”而生，输出简洁、结果明确：
- 运行
composer depends vendor/package-name，它列出所有直接声明依赖该包的项目或库（包括 require 和 require-dev） - 如果某行末尾带
requires: ^1.2或requires: dev-main，说明就是它在强约束版本 - 不加
-r时只显示顶层 require；加-r（即composer depends -r vendor/package-name）会递归查出间接依赖者，但要注意：带replaces或provides的行不是真实约束来源，可忽略 - 若返回空或报
Package not found，说明该包未被当前项目任何require声明过，可能来自require-dev、插件自动加载，或根本没装进vendor/
用 composer show --tree 看清整条依赖链
当 depends 显示多个上游，但你不确定哪一层真正卡住了版本升级，就得展开树状结构：
-
composer show --tree vendor/package-name会从根项目开始，逐级展示该包被哪个父包引入、用了什么版本 - 输出中类似
your/project ── some/lib ── vendor/package-name这样的路径，就是真实加载路径；如果某节点末尾标了(locked to 1.5.0)，说明composer.lock已固化该版本，composer update不加--with-dependencies不会动它 - Linux/macOS 下可配合
grep缩小范围：composer show --tree | grep -A3 -B3 "vendor/package-name"，快速定位上下文 - 注意：如果树里完全找不到目标包，但它又确实存在
vendor/中，大概率是通过path类型仓库或packages手动配置引入的，需另查composer.json的repositories段
验证是否真被加载：别只信 vendor 目录
符号链接存在 ≠ 类能自动加载。尤其 path 依赖或 PSR-4 配置错位时，常出现“目录有，类找不到”：
- 先确认
vendor/vendor/name是软链接（ls -la看是否有->），否则不是 path 模式生效 - 再运行
composer dump-autoload -o刷新自动加载器，避免缓存干扰 - 写一行临时测试代码：
var_dump(class_exists('Vendor\Package\SomeClass'));，返回true才算真正可用 - 如果失败，检查
vendor/composer/autoload_psr4.php里有没有对应 namespace 映射；没有的话，说明该包的autoload配置没被识别（比如本地包缺composer.json或name字段不匹配）
最易被忽略的是 require-dev 和 config.platform：它们不显眼，却可能悄悄锁死一个共享依赖的版本。排查时务必把这两块也纳入 composer show --tree 和 composer depends -r 的范围，否则永远卡在“明明没写限制，怎么就是升不了”。
