composer show --tree只显示一层是因为项目未执行composer install导致vendor/和composer.lock缺失，或使用了不支持该命令的Composer 1.x版本；正确做法是先安装依赖并升级到Composer 2.0+。
composer show --tree 为什么只显示一层？
因为 composer show --tree 本身没错，但很多人误以为它会自动展开全部嵌套层级——其实它默认展示的是「已安装包的完整依赖树」，前提是 vendor/ 和 composer.lock 都存在且同步。如果刚初始化项目、还没运行过 composer install，show --tree 就只会列出顶层包（甚至报错 Package not found）。另外，旧版 Composer（--tree，直接提示 Command "show" is not defined。
解决办法很简单：
- 先确保在项目根目录（含
composer.json）执行composer install或composer update - 升级 Composer：
composer self-update（最低要求 v2.0+，推荐 ≥2.5） - 别输成
composer show -tree或composer tree——这两个都不是合法命令，会报错
怎么精准查某个包是谁拉进来的？
用 composer show --tree vendor/package-name 可以聚焦查看某包及其子依赖，但更高效的方式是绕过树形输出，直击源头：
-
composer why vendor/package-name：告诉你哪几个顶层依赖（或间接依赖）导致该包被安装，连约束条件（如^3.0）都列出来 -
composer depends vendor/package-name：反向查谁依赖了它，适合判断能否安全移除 - 如果想确认是否因
require-dev引入，加--no-dev再试一次：composer why --no-dev vendor/package-name
注意：why 和 depends 不受 vendor/ 是否完整影响，只要 composer.lock 存在就能工作，比 show --tree 更轻量、更可靠。
依赖树里看到同名不同版本，怎么判断实际加载哪个？
composer show --tree 会把所有已安装版本都列出来，比如同时出现 symfony/console v5.4.36 和 v6.4.7，但它不说明哪个被自动替换、哪个被 replace 规则屏蔽了。真实加载顺序取决于 autoload 机制和 composer.json 中的 replace / provide 字段。
- 运行
composer show vendor/package-name（不带--tree）看它的replaces和provides字段 - 检查
vendor/composer/autoload_classmap.php，搜索类名，看对应路径属于哪个版本的包 - 用
composer dump-autoload -o后再测试类加载，避免因优化缓存导致误判
特别容易忽略的一点：平台配置（config.platform）可能让 Composer “假装”装了某个扩展或 PHP 版本，从而跳过真实依赖校验——这种情况下树里看不到冲突，但运行时会出错。
什么时候该放弃文本树，改用图形化工具？
当你要回答这些问题时，composer show --tree 就不够用了：
- “为什么
monolog被装了两个大版本？” - “哪些私有包之间存在循环引用？”
- “dev-only 包为什么出现在生产环境的
vendor/里？”
这时候推荐两个轻量方案：
-
composer global require baethon/composer-graph，然后运行composer graph --format=png > deps.png（需系统已安装graphviz的dot命令） - 本地快速验证：用
composer show --tree --format=json | jq '.[].requires'提取依赖关系，再喂给 Python / Node.js 脚本生成图谱
图形化不是为了好看，而是当缩进超过 5 层、包数超 200 个时，人眼根本没法从文本里识别调用链主干——这时候颜色、连线、聚类才是关键。
