composer可通过dev-branch#commit-hash语法精确安装git特定提交，如composer require vendor/package:dev-main#7f8a2c1，其本质是使composer.lock中reference字段固化为40位sha，确保可重现构建。
composer install 指定 Git 修订版本（commit hash）
Composer 支持直接安装某个 Git 仓库的特定 commit，无需发布新 tag。关键在于用 dev-branch-name#commit-hash 语法替代版本号。
常见错误是写成 "vendor/package": "dev-main#abc123" 却没加 allow-plugins 或忽略分支前缀 —— 实际上 dev-main 必须存在，且该 commit 必须在 main 分支可及的历史中（不是孤立提交）。
-
composer require vendor/package:dev-main#7f8a2c1是最常用方式，7f8a2c1是短 commit hash，Composer 会自动解析为完整 SHA - 如果目标 commit 不在默认分支（如
main或master），需改用对应分支名，例如dev-fix/auth-bug#e9d4b2a - 执行后，
composer.lock中该包的reference字段会固定为完整 40 位 SHA，下次composer install就不会漂移
用 version 约束锁定到 exact commit（非 branch + hash）
想彻底绕过分支语义、只认某次提交？可以用 dev-master 作为虚拟版本名，再配合 as 别名和 version 字段强制覆盖 —— 这属于「伪精确版本」，仅用于 lock 文件固化。
但更可靠的做法是：在 composer.json 中显式声明 version 字段，并设为 dev-SHA 格式：
{
"require": {
"vendor/package": "dev-main as 9999999.9999999-dev"
},
"repositories": [
{
"type": "vcs",
"url": "https://github.com/vendor/package.git"
}
]
}
然后运行 composer update vendor/package。此时 Composer 会拉取 main 分支最新代码，但把 version 锁死为 9999999.9999999-dev —— 这只是占位符，真正锁定靠的是 composer.lock 里的 reference。
为什么 composer require vendor/package:1.2.3 不等于“精准”？
看起来 1.2.3 很明确，但它只是 package 的「版本别名」，实际指向的 commit 可能被作者重新打 tag（即 tag re-pointing）。虽然 Packagist 官方禁止这种操作，但私有仓库或 GitHub 直连时，tag 是可移动的。
- 检查是否真被锁定：看
composer.lock里对应包的source.reference字段 —— 如果是 40 位 SHA，才代表物理 commit 已固定 -
1.2.3在 lock 文件中通常对应dist.reference，而 dist 包可能由 CI 构建生成，与源码 commit 不一致 - 若要 100% 可重现，优先使用
dev-branch#hash，其次才是稳定 tag，避免依赖未签名的第三方 dist 包
私有 Git 仓库 + SSH 链接下如何指定 revision
当用 git@github.com:vendor/package.git 这类 SSH 地址时，composer require 仍支持 #hash，但必须确保本地能 git clone 成功（SSH key 已配置、host 已验证）。
常见失败提示：Failed to clone https://github.com/... via https, ssh —— 此时不是版本写法问题，而是网络或认证失败。
- 先手动测试：
git clone git@github.com:vendor/package.git && cd package && git checkout abc123 - 若成功，再执行
composer require vendor/package:dev-main#abc123 - 注意：SSH URL 必须在
repositories中注册为vcs类型，否则 Composer 默认只走 HTTPS
composer.lock 的 reference 字段不可变。只要这个字段是完整 SHA，哪怕 package 的 composer.json 里写着 dev-main，也不会影响安装结果。很多人卡在以为写了 #hash 就万事大吉，却忘了检查 lock 文件是否真的存了 reference。
