composer install 会忽略 composer.lock 中的 commit hash，是因为它仅在显式配置为 "type": "vcs" 的仓库中才强制检出指定 commit；若包来自 packagist（即使源码在 github），composer 仅按版本号解析，lock 文件里的 source.reference 仅为快照记录，不参与安装决策。
为什么 composer install 会忽略 composer.lock 里的 commit hash？
因为 Composer 默认只在 "type": "vcs" 仓库中才真正尊重 commit 锁定 —— 如果你用的是 Packagist 托管的包（哪怕源码在 GitHub），Composer 会按版本号解析，composer.lock 里存的 commit 字段只是快照记录，不参与安装决策。
常见错误现象：composer install 后发现代码和预期 commit 不一致；composer update 拉了新提交却没报错；CI 环境构建结果和本地不一致。
- 必须把包声明为
vcs类型仓库，且 URL 指向 Git 远程地址（如https://github.com/vendor/package.git），不能是 Packagist 的别名（如vendor/package） -
composer.json中该包的版本约束必须写成"dev-main#abc1234"或"dev-master#abc1234"形式，其中abc1234是完整或缩略 commit hash - 如果用了
^、~或分支别名（如dev-main），Composer 会忽略 hash，仅按分支最新 HEAD 安装
如何正确配置 vcs 仓库并锁定 commit
不是加个 repositories 就完事 —— 顺序、URL 格式、版本写法三者缺一不可。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 在
composer.json的repositories顶部显式声明 Git 仓库，type必须为"vcs"，url必须是可 clone 的 Git 地址（支持 HTTPS/SSH），不能带.git后缀以外的路径 - 包的
require条目必须与repositories中的name（即vendor/name）完全一致，否则 Composer 不会关联到该仓库 - 版本号必须含
#符号 + commit hash，例如："vendor/package": "dev-main#f3a7b2e"；若远程无main分支，会 fallback 到HEAD，但不会报错 —— 建议先git ls-remote验证分支存在
{
"repositories": [
{
"type": "vcs",
"url": "https://github.com/myorg/internal-sdk.git"
}
],
"require": {
"myorg/internal-sdk": "dev-main#9d8ef1a"
}
}
composer update 时 hash 被悄悄覆盖怎么办？
默认行为是：只要远程 dev-main 分支有新提交，composer update myorg/internal-sdk 就会升级到新 commit，即使你锁了 hash —— 因为 dev-main#9d8ef1a 只是“指向 main 分支上这个 commit”，不是“强制只允许这个 commit”。
- 运行
composer update --lock可跳过更新逻辑，仅重写composer.lock，但无法防止下次update变更 - 真正防覆盖的方法是加
"minimum-stability": "dev"和"prefer-stable": false，再配合require中明确写死dev-xxx#hash—— 这样 Composer 才会把 hash 当作唯一标识，而非分支快照 - CI 中建议加检查：用
git -C vendor/myorg/internal-sdk rev-parse HEAD校验实际检出 commit 是否匹配composer.lock中的source.reference
Git 子模块 vs Composer commit 锁定，选哪个？
子模块能 100% 锁定 commit 且不依赖 Composer 解析逻辑，但破坏了自动加载、版本复用和依赖扁平化；Composer 锁定更轻量，但要求团队对 vcs 配置和版本写法有共识。
- 如果你需要频繁切 commit、做灰度发布、或上游不稳定，优先用 Composer 的
dev-branch#hash方式，配合repositories显式声明 - 如果包是私有 SDK、强耦合主项目生命周期，且你愿意承担子模块管理成本，
git submodule add -b main https://...更可靠 - 二者混用会冲突：子模块已存在时 Composer 不会覆盖目录，但
composer install可能静默跳过安装，导致 autoloader 缺失 —— 不建议共存
最易被忽略的一点：GitHub/GitLab 的 archive 下载链接（如 https://api.github.com/repos/.../tarball/...）不支持 commit 锁定，只有 vcs 类型走 git clone 才认 hash。
