所有依赖都存在composer.json中，由于composer.json中相应库版本号未必为精确版本，所以同一份composer.json在不同时刻我们可能拉取到不同的依赖文件（默认拉取最新）...