如何在命令行列出站点的Composer依赖包及其来源地址

• 直接查询所有依赖及来源的原生命令：
  Composer 内置支持格式化输出所有已安装包的完整元数据，包含你需要的原始仓库URL，无需额外安装插件：

composer show --all --format=json

输出的JSON数据中，installed数组下每个元素的source.url字段即为依赖包的原始来源地址，私有仓库、未上架Packagist的包也能正常获取。

• 一键导出为CSV格式：
  Linux/macOS 环境下可借助jq工具直接处理输出结果，生成符合要求的依赖来源清单：

composer show --all --format=json | jq -r '.installed[] | [.name, .source.url] | @csv' > 依赖来源清单.csv

导出的CSV文件可直接用表格工具打开核查，包含两列内容：包名、原始仓库URL。

• 单个依赖包来源查询：
  如果需要单独查询某个包的来源地址，可使用以下命令：

# 替换<包名>为实际要查询的包，例如 zizaco/entrust
composer show <包名> --format=json | jq -r '.source.url'

所有通过Composer正常管理的依赖，无论来源是Packagist公网、私有镜像站、还是自定义配置的私有仓库，都可以通过上述命令准确获取来源地址，不会出现数据缺漏。

内容的提问来源于stack exchange，提问作者Jav