Composer licenses 命令可列出项目依赖的许可证类型，帮助识别 MIT、Apache-2.0、GPL 等许可风险，结合 FOSSA、Snyk 等工具在 CI 中自动化检查，提升合规管理效率。
Composer 的 licenses 命令本身不能自动完成许可证合规性检查，但它能帮助你快速查看项目中每个依赖包所声明的许可证类型，这是进行合规评估的第一步。
查看所有依赖的许可证信息
运行以下命令可以列出项目中安装的所有包及其许可证：
composer licenses输出会显示每个包的名称、版本、描述以及对应的许可证（如 MIT、Apache-2.0、GPL-2.0 等）。通过这个列表，你可以初步识别是否存在使用了限制性较强或公司政策不允许的许可证。
识别潜在风险的许可证
某些开源许可证带有较强的约束条件，例如：
- GPL 类许可证可能要求你的整个项目也必须开源
- AGPL 在网络服务场景下有额外传播要求
- 非标准或自定义许可证需要人工审查
利用 composer licenses 输出的信息，你可以重点关注这些高风险许可证，并交由法务或合规团队评估是否可接受。
结合其他工具提升效率
虽然 composer licenses 提供基础信息，但要实现更完整的合规管理，建议配合以下做法：
- 使用静态分析工具如 FOSSA、Snyk 或 Dependabot 自动扫描许可证并告警
- 在 CI 流程中集成许可证检查脚本，防止引入不合规依赖
- 定期导出 composer licenses --no-dev -q 的结果用于归档和审计
基本上就这些。composer licenses 不复杂但容易忽略，用好它能帮你快速摸清第三方库的许可状况，为后续合规决策打下基础。
