使用composer depends命令可查看包的依赖关系，如composer depends symfony/console --tree以树状结构展示直接与间接依赖，帮助分析依赖链条、区分直接与间接依赖，并通过--link-type=require追溯冲突源头，结合composer why-not解决版本冲突问题。
要查看Composer包依赖了哪些其他包，最直接有效的方法就是使用
composer depends命令。这个命令能帮你迅速理清一个特定包的依赖关系网，无论是直接的还是间接的，都能一目了然地展现出来。
composer depends命令是你的好帮手。它能为你展示一个特定包所依赖的其他包，甚至可以深入到多层依赖关系中。
比如说，你想知道
symfony/console这个包都依赖了些什么，你可以在项目根目录运行：
composer depends symfony/console
这会列出
symfony/console直接依赖的所有包。如果你想看到更详细的依赖树，包括间接依赖，可以加上
--tree选项：
composer depends symfony/console --tree
这样输出会以树状结构展示，非常清晰。有时候，我们可能只想看这个包为什么依赖了某个特定的包，比如，
symfony/console是不是因为
psr/log才存在的？你可以反过来问：
composer depends psr/log --link-type=require
这会告诉你哪些包直接或间接
require了
psr/log。这在调试依赖冲突或者理解包的实际用途时特别有用。
如何查看特定依赖包的完整依赖链条？
有时候，我们不仅仅满足于知道一个包依赖了什么，更想搞清楚这个依赖链条到底有多深，或者某个特定的间接依赖是怎么被引入的。这在处理版本冲突或者理解项目复杂性时，简直是刚需。
composer depends --tree就是为此而生的。它会以一种视觉上友好的树状结构，递归地展示一个包的所有依赖。比如，当我看到一个项目里某个库的版本总是和另一个库冲突，我就会用这个命令去追溯源头。
例如，我们看
guzzlehttp/guzzle的依赖：
composer depends guzzlehttp/guzzle --tree
输出可能会是这样：
guzzlehttp/guzzle
├── psr/http-message
├── psr/http-client (conflicts with psr/http-message)
├── guzzlehttp/promises
│ └── psr/http-message
└── guzzlehttp/psr7
├── psr/http-message
└── ralouphie/getallheaders从这个输出里，我能清楚地看到
guzzlehttp/guzzle直接依赖了
psr/http-message、
guzzlehttp/promises和
guzzlehttp/psr7。而
guzzlehttp/promises和
guzzlehttp/psr7又各自依赖了
psr/http-message。这种重复依赖同一个接口的情况很常见，但如果版本不兼容，问题就来了。树状结构让我能一眼识别出哪些地方可能存在隐患。
另外，
composer show -t也是一个查看项目所有包依赖树的利器，不过它显示的是整个项目的依赖，而
composer depends更专注于单个包。
如何区分直接依赖和间接依赖？
区分直接依赖和间接依赖，其实就是理解
composer.json文件和实际安装的包之间的关系。直接依赖，顾名思义，就是你在项目的
composer.json文件里明确
require的那些包。它们是你项目运行的基础，是你主动选择引入的。
而间接依赖，则是你直接依赖的那些包，它们自身又
require了其他的包。这些包你可能从未在
composer.json里写过，但它们是项目运行不可或缺的一部分。
用
composer depends命令来区分它们非常直观。当你运行：
composer depends vendor/package
默认情况下，它会列出
vendor/package直接依赖的包。这些通常就是
vendor/package自身
composer.json里
require字段下的内容。
如果你想明确地只看直接依赖，可以加上
--direct选项，但通常
composer depends的默认行为就已经是这样了。
理解这个区别，对于管理项目的依赖深度，以及在升级或移除某个包时预判可能带来的影响，至关重要。我曾经遇到过一个问题，移除了一个看似不重要的包，结果导致其他几个核心功能报错，后来才发现那个“不重要”的包是一个间接依赖的关键桥梁。所以，在做任何依赖改动之前，花点时间用
composer depends审视一下，总是没错的。
在解决依赖冲突时，这些信息有何帮助？
依赖冲突，几乎是每个PHP开发者都会遇到的“家常便饭”。当Composer告诉你
Your requirements could not be resolved to an installable set of packages.时，那种头大感，相信大家都有体会。这时，
composer depends提供的信息就成了我们排查问题的“探照灯”。
通常，冲突的根源在于两个或多个包需要同一个依赖的不同版本。例如，
package-A需要
library-X ^1.0，而
package-B却需要
library-X ^2.0。Composer无法同时安装这两个版本，于是就报错了。
在这种情况下，我会这样做：
识别冲突的焦点： Composer的错误信息通常会指出哪个包和哪个版本产生了冲突。
-
追溯冲突路径： 针对冲突的
library-X
，我会用composer depends library-X --link-type=require
来查看究竟是哪些上游包引入了它。composer depends library-X --link-type=require
这会列出所有直接或间接依赖
library-X
的包。 -
分析版本需求： 结合
composer depends package-A --tree
和composer depends package-B --tree
，我能清晰地看到package-A
和package-B
各自对library-X
的版本要求，以及它们是如何通过依赖链条引入library-X
的。通过这个分析，我可能会发现：
- 某个包版本过旧，需要升级。
- 某个包版本过新，和项目其他部分不兼容，需要降级。
- 甚至可能发现，某个包的某个功能实际上可以通过其他方式实现，从而避免引入冲突的依赖。
例如，我曾遇到
doctrine/orm
和symfony/validator
对symfony/property-access
的版本要求不一致。通过composer depends
，我发现doctrine/orm
的某个旧版本固定了symfony/property-access
的一个老版本，而symfony/validator
的新版本则要求更高的版本。最终解决方案是升级doctrine/orm
到兼容symfony/property-access
新版本的版本。此外，
composer why-not vendor/package version
这个命令也值得一提。它可以直接告诉你为什么某个特定版本的包不能被安装，这对于快速定位冲突原因非常有效。它和composer depends
是解决依赖冲突的组合拳。
