composer show 默认只显示直接依赖，加 -t 参数可查看完整树状结构；–format=json 输出结构化数据，–locked 读取 composer.lock 快照，–no-dev 可排除开发依赖。
composer show 能否导出完整依赖树
composer show 默认只显示直接依赖（即 composer.json 里写的包），不包含递归依赖。想看完整树状结构，得加 -t 参数：composer show -t。但注意：这个输出是纯文本、不可直接用于自动化处理，也不含版本约束（比如 ^2.0）或来源类型（dist vs source）。
用 composer show –format=json 导出结构化数据
真正适合后续解析或存档的是 JSON 格式：composer show --format=json。它返回所有已安装包（含间接依赖）的名称、版本、描述、源地址等字段。如果只想导出扁平列表（不含嵌套关系），可配合 jq 提取关键信息：
composer show --format=json | jq -r '.[] | "\(.name) \(.version) \(.source.type // "dist")"'
这会输出类似 monolog/monolog 2.9.3 dist 的每行一条记录，方便比对或审计。
生成 lock 文件对应的精确依赖快照
最权威、可复现的依赖清单其实已经存在——就是 composer.lock。它记录了每个包的确切版本、校验和、安装源及依赖关系。不需要额外“导出”，直接提交该文件即可。若需人工阅读，可用：composer show --locked（只读 composer.lock，不检查 composer.json 变更）。常见误区是运行 composer install 前没确认 composer.lock 是否更新，导致本地依赖与 CI 环境不一致。
