分析 composer.lock 可还原依赖树，需结合 composer.JSon 与命令行工具。首先查看 lock 文件中的 packages 与 packages-dev 字段获取已安装包的名称、版本及直接依赖（require），但该文件仅提供扁平列表，不展示嵌套结构。为构建完整依赖层级，应从根项目 composer.json 的 require 出发，在 lock 文件中查找对应包及其依赖，递归追踪直至终端节点。注意 replace 和 provide 字段可能影响依赖解析。推荐使用 composer show –tree 命令直接生成树状依赖图，或用 composer show –tree vendor/package-name 查看特定包依赖。辅助工具如 composer-unused、deptrac 或自定义脚本可实现可视化分析。最终依赖版本由 Composer 求解器确定，lock 文件确保一致性，适合审计与复现环境。
分析 composer.lock 文件有助于理解项目中实际安装的依赖版本及其层级关系。虽然这个文件是 JSON 格式、主要用于锁定依赖版本，但你可以通过它还原出完整的依赖树结构。
查看 composer.lock 的基本结构
composer.lock 包含两个核心字段：packages 和 packages-dev，分别记录生产环境和开发环境的已安装包。每个包条目包含名称、版本、依赖关系（require）等信息。
重点关注以下字段：
- name：包名
- version：安装的具体版本
- require：该包所依赖的其他包（仅列出直接依赖）
- replace、provide：虚拟包或替代关系
- source 和 dist：代码来源信息
注意：composer.lock 不直接展示依赖树的嵌套结构，只列出扁平化的包列表。要还原依赖关系，需结合 composer.json 和解析逻辑。
使用 Composer 命令生成依赖树
最直接的方式不是手动读 lock 文件，而是使用 Composer 自带命令：
composer show –tree
这条命令会以树状结构显示当前项目的依赖，包括嵌套的子依赖。例如：
– monolog/monolog
– psr/log ^1.0 || ^2.0 || ^3.0
– php >=7.2
你也可以查看某个特定包的依赖：
composer show –tree vendor/package-name
手动分析 lock 文件中的依赖关系
如果你想从 composer.lock 中推理依赖树，可以这样做：
- 从根项目的
composer.json找出直接依赖（require） - 在
composer.lock的packages列表中查找这些包的版本和其require字段 - 递归查找每个被依赖的包，构建出层级结构
例如，如果你的项目 require symfony/console，就在 lock 文件中找到它，看它 require 了哪些包（如 symfony/polyfill-mbstring），再继续追踪这些包的依赖。
注意循环依赖和版本约束冲突的可能性，lock 文件中的版本已经过求解器处理，代表最终一致状态。
使用可视化工具辅助分析
有一些工具可以帮助你更直观地查看依赖树：
- composer-unused：检测未使用的依赖
- deptrac 或自定义脚本：分析依赖层级
- 将
composer.lock解析为 JSON 后，用 python 或 node.js 脚本生成图形化依赖图
你也可以导出依赖列表用于审计：
composer show –format=json | php -r “print_r(json_decode(file_get_contents(‘php://stdin’),1));”
基本上就这些。composer.lock 是依赖快照，真正理解依赖树还得靠命令行工具配合手动分析关键路径。不复杂但容易忽略细节。