composer如何检查项目所有依赖的许可证(license)-composer-PHP中文网

composer如何检查项目所有依赖的许可证(license)

尼克

发布： 2025-10-13 19:53:01

原创

321人浏览过

可通过composer show、第三方工具或解析composer.lock检查依赖许可证。1. 使用composer show --format=json结合jq提取license字段；2. 安装并运行terrapiq/composer-license-check进行合规检查，支持黑名单配置；3. 使用php-library-compliance等高级工具生成报告；4. 手动解析composer.lock文件，用PHP脚本提取所有包的许可证信息。推荐结合快速查看与专用工具审计，注意部分包可能缺少license声明需人工确认。

composer如何检查项目所有依赖的许可证(license)

Composer 本身不直接提供检查所有依赖许可证的功能，但可以通过组合使用 Composer 命令和第三方工具来实现。以下是几种实用方法。

1. 使用 composer show 查看单个包的许可证

你可以用 composer show 命令查看已安装包的基本信息，包括许可证：

composer show --direct

加上 --all 参数可列出所有依赖（包括嵌套）：

composer show --format=json

输出为 JSON 格式后，可以提取每个包的 license 字段。例如结合 PHP 脚本或 jq 处理：

composer show --format=json | jq '.[].license'

2. 使用 composer-license-check 工具

这是一个专门用于检查 Composer 项目中依赖许可证的开源工具：

安装：

composer require --dev terrapiq/composer-license-check

运行检查：

有道小P

有道小P，新一代AI全科学习助手，在学习中遇到任何问题都可以问我。

查看详情

./vendor/bin/license-check

它会列出所有依赖及其许可证类型，并支持配置黑名单（如不允许 GPL 包）。

3. 使用 php-library-compliance 或其他合规工具

更高级的方案是使用 php-library-compliance 或集成 CI 的工具，能生成许可证报告、导出声明文件等。

这类工具通常会：

递归分析 composer.lock 中的所有包
抓取 license 字段（可能有多个，如 "MIT", "proprietary"）
尝试下载 LICENSE 文件进行验证
输出 HTML 或 CSV 报告

4. 手动解析 composer.lock 文件

composer.lock 包含了所有依赖的精确版本和元信息。你可以写一个简单的 PHP 脚本读取它并提取 license 字段：

$data = json_decode(file_get_contents('composer.lock'), true); foreach ($data['packages'] as $pkg) { $name = $pkg['name']; $license = isset($pkg['license']) ? implode(', ', (array)$pkg['license']) : 'unknown'; echo "$name: $license\n"; }

这种方法灵活，可集成到自动化流程中。

基本上就这些。推荐结合 composer show --format=json 快速查看，或使用 composer-license-check 进行正式审计。注意有些包可能未正确填写 license 字段，需手动确认。

以上就是composer如何检查项目所有依赖的许可证(license)的详细内容，更多请关注php中文网其它相关文章！