必须通过配置 repositories 为 vcs 类型并指定 dev- 前缀哈希版本（如 "dev-abc1234"）才能用 commit 哈希安装，直接写哈希或使用 @ 符号均无效，且需确保 git 协议可达、权限正确、哈希存在于默认分支。
直接用 commit 哈希安装，不是 dev- 分支名
Composer 默认不认 commit 哈希当版本号，硬写 "vendor/package": "abc1234" 会报错 Could not find package vendor/package。必须显式告诉 Composer 这是个 VCS 包，并指定 version 字段为带 dev- 前缀的哈希（注意：不是分支名）。
- 在
composer.json的repositories里加一个vcs类型源，指向 GitHub/GitLab 等仓库地址 -
require里写版本时，用"dev-abc123456789"格式（取 commit 哈希前 7–10 位即可，Composer 会自动解析） - 别漏掉
"type": "vcs"，否则 Composer 不会尝试从 Git 拉代码
composer require 命令行一次性安装的写法
不用改 composer.json 也能装，但语法容易错。关键点是：仓库 URL 必须拼在包名后面，且 version 要用 # 后缀，不是 @。
Workflow Decomposer
下载
工作流任务拆解与模型编排技能。使用场景：(1) 收到复杂工作任务需要拆解为可执行步骤，(2) 需要为不同步骤选择最合适的模型，(3) 需要跟踪工作流进度和模型使用情况，(4) 长时间任务卡住需要问题诊断和解决方案。
- 正确命令：
composer require "vendor/package:dev-main#abc1234"—— 注意#后是 commit 哈希，dev-main是占位分支名（实际可任意，只要带dev-） - 错误写法：
composer require vendor/package#abc1234（缺少版本声明格式）、composer require vendor/package@abc1234（@只支持 tag/branch，不支持裸哈希） - 如果仓库不在 Packagist 上，这条命令会失败，必须先在
composer.json里配好repositories
为什么不能直接用 tag 或 branch？
有些提交没打 tag，或者只存在于某个临时分支、PR 分支里，甚至作者删了分支。这时候靠 dev-feature-xyz 或 v1.2.3 都找不到代码。
-
tag是人工打的，可能滞后；branch是动态的，今天装和明天装可能拉到不同 commit - 只有 commit 哈希是 Git 里唯一不变的“快照 ID”，能确保每次
composer install拉到完全相同的代码 - 但代价是：没人维护这个 commit，不会有后续安全更新，CI 缓存也可能失效（因为哈希变了就重装）
常见报错和绕过方式
最常卡在 Failed to clone https://... , could not read refs 或 Package not found。本质是 Composer 没走对 Git 协议路径，或权限不足。
- 私有仓库必须配 SSH key 或
auth.json，HTTPS 方式需提前登录 GitHub CLI 或配置 token - GitLab 私有项目要确认
composer.json里的url是git@gitlab.com:...格式，不是网页地址 - 如果提示
no matching package found，检查 commit 哈希是否真实存在于该仓库的默认分支历史中（比如你填的是 main 分支的哈希，但仓库默认是 master）
repositories 配置、合法的 dev- 版本格式、以及 Git 协议可达性三者同时满足，少一个都会静默失败。
