Composer 可直接安装指定 Git 提交哈希的包，需在 repositories 中声明 vcs 类型源，并将版本号写为 dev-abc1234（dev-前缀+完整哈希），且 name 必须与仓库 composer.json 一致；裸哈希如 abc1234 不被识别。
Composer 可以直接安装指定 Git 提交哈希（commit hash）的包，无需发布新版本或修改 composer.json 中的版本约束为 dev- 分支别名。关键在于用 dev-branch 作为版本号，并在 repositories 中显式声明 Git 类型源，同时确保 version 字段与目标提交的哈希匹配（需加 dev- 前缀）。
使用 repositories + dev- 版本号锁定哈希
这是最可靠的方式，尤其适用于私有仓库或尚未打标签的提交。Composer 不会自动解析任意哈希为合法版本，必须通过自定义仓库声明并显式指定 version。
-
version字段值必须是dev-开头 + 实际 commit hash（如dev-abc1234），且该 hash 必须存在于仓库中 -
type必须设为vcs，url指向 Git 仓库 HTTPS 或 SSH 地址 - 目标包的
name（如monolog/monolog）必须与仓库中composer.json的name完全一致 - 执行
composer require时，版本号写成dev-abc1234，Composer 才会匹配到该仓库条目
{
"repositories": [
{
"type": "vcs",
"url": "https://github.com/Seldaek/monolog"
}
],
"require": {
"monolog/monolog": "dev-7a8e5d1f6b0c9c7a9e8d7f6a5b4c3d2e1f0a9b8c"
}
}
为什么不能直接写 "monolog/monolog": "7a8e5d1"？
Composer 的版本解析器不把裸哈希当作有效版本。它只识别语义化版本（1.2.3）、分支别名（dev-main）、带 dev- 前缀的哈希（dev-7a8e5d1），或 dev- + 分支名（dev-feature/x）。单独哈希会被忽略或报 Could not find package 错误。
- 错误写法：
"monolog/monolog": "7a8e5d1"→ Composer 查不到匹配版本 - 正确写法：
"monolog/monolog": "dev-7a8e5d1"，且该提交存在于默认远程或已配置的vcs仓库中 - 如果目标提交不在
origin/main或默认分支历史里（比如是某个 feature 分支的孤立提交），就必须用repositories显式引入该仓库
用 composer require 命令行一步到位
无需手动编辑 composer.json，可用命令直接添加带哈希的依赖，前提是目标仓库已能被 Composer 发现（公开包走 Packagist，私有包需提前配好 repositories）。
- 对 Packagist 上已知的包（如
laravel/framework），直接运行：composer require laravel/framework:dev-8a7b6c5d --with-all-dependencies -
--with-all-dependencies很重要：避免因子依赖版本冲突导致安装失败 - 若提示
Could not find a matching version，说明该哈希未被索引或不在默认分支；此时必须先在composer.json的repositories中添加对应 Git 源 - 私有 GitLab/GitHub 仓库需确保认证已配置（如
auth.json或 SSH key），否则 clone 会失败
哈希锁定后如何验证实际安装的代码？
安装完成后，不能只看 composer show 输出的版本号，要确认 vendor/ 下的实际 Git 状态。
- 进入
vendor/package-name目录，运行：git rev-parse HEAD—— 输出应与你指定的哈希完全一致 - 运行：
git status—— 应显示HEAD detached at abc1234，而非on branch main - 如果看到
package-name dev-main abc1234这类输出，说明 Composer 回退到了分支模式，可能因哈希不可达或version字段不匹配 -
composer.lock中对应条目的source段会记录type、url和reference（即真实 commit hash），这是最终依据
哈希锁定本质是让 Composer 把一次提交当作一个“伪版本”，所有校验和依赖解析都基于这个确定的快照。最容易出问题的是 version 字段拼写错误（漏掉 dev-、大小写不一致、截断过短），以及私有仓库权限或网络不可达——这两点比语法更常导致静默失败。
