composer支持用dev-master#commit-hash指定提交，如"dev-master#f5a0a2e"，但不支持语义版本后加#，如"^1.2.3#abc1234"会报错；私有库需配置repositories，验证需比对git rev-parse head与composer.lock中source.reference。
用 dev-master + #commit-hash 指定提交
Composer 不支持直接在 version 字段写提交 ID，但允许在版本约束中附加 Git 提交哈希。最常用且可靠的方式是将包的版本设为 dev-master#abc1234（其中 abc1234 是目标提交的前 7 位短哈希）。
例如，在 composer.json 中这样写：
"require": {
"monolog/monolog": "dev-master#f5a0a2e"
}
注意：dev-master 并非强制要求 —— 如果该包有其他开发分支（如 dev-feature/x），也可写成 dev-feature/x#f5a0a2e，前提是该分支包含该提交。
- 必须确保该提交存在于远程仓库（GitHub/GitLab 等），且 Composer 能访问到（私有库需配置
repositories） - 哈希必须是完整提交 ID 的前缀，且足够唯一（通常 7 位够用；若冲突，加长到 8–10 位）
- 执行
composer update monolog/monolog后，vendor/下检出的代码即为该提交，composer.lock中会记录完整哈希和来源 URL
为什么不能用 ^1.2.3#abc1234 这类写法
Composer 的版本解析器不接受在语义化版本后拼接 # —— 它会把整个字符串当作非法版本约束并报错：Invalid version string。
根本原因在于：# 仅被识别为“分支别名+提交”语法的一部分，且只适用于 dev-* 形式的开发分支标识符，不参与语义版本比较逻辑。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
-
"monolog/monolog": "1.2.3#f5a0a2e"→ 解析失败，报错 -
"monolog/monolog": "dev-main#f5a0a2e"→ 成功（假设主干分支叫main） -
"monolog/monolog": "dev-master#f5a0a2e"→ 成功（传统默认分支）
私有包或非标准 Git 仓库需显式声明 repositories
如果扩展包不在 Packagist 上，或使用自建 Git 服务器（如 Gitee、内部 GitLab），必须在 composer.json 中添加 repositories 配置，否则 Composer 找不到源码。
示例（Git 仓库）：
"repositories": [
{
"type": "vcs",
"url": "https://git.example.com/myorg/my-package.git"
}
],
"require": {
"myorg/my-package": "dev-main#9a8b7c6"
}
-
type: "vcs"是必须的，不能省略或写成"package"（后者需手动定义完整包信息） - URL 必须可被 Composer 的 Git 驱动克隆（支持 SSH、HTTPS；SSH 需提前配好密钥）
- 若仓库无
composer.json或其内容不合法，安装会失败，错误提示类似Could not load package ... in http://repo.packagist.org（即使你已配了repositories）
锁定后如何验证实际安装的提交
运行 composer install 或 composer update 后，不能只看 composer.lock 里的 source 哈希 —— 还得确认 vendor/ 目录下代码确实匹配。
最快验证方式：
cd vendor/myorg/my-package git rev-parse HEAD
- 输出应与
composer.lock中对应包的source.reference字段完全一致（包括大小写） - 如果输出是
HEAD或报错not a git repository，说明未走 Git 克隆流程（可能被缓存覆盖或降级为 zip 包下载） - 强制走 Git 克隆：加
--prefer-source参数（composer update --prefer-source）
提交 ID 看似简单，但混用分支名、忽略仓库可访问性、跳过验证步骤，是线上环境行为不一致的常见源头。
