Composer update拉不到最新VCS提交，因缓存复用旧Git克隆；须手动删除~/.composer/cache/vcs/对应目录，再执行composer update --with-dependencies，并验证composer show输出的source.reference与远程commit一致。
Composer update拉不到最新的VCS提交？先确认缓存没骗你
Composer对VCS（Git/Svn等）依赖的处理和Packagist包不同：它不走packages.json索引，而是直接克隆或拉取远程仓库，但会把克隆结果缓存在~/.composer/cache/vcs/下。一旦这个缓存目录里的Git仓库状态滞后（比如远程已git push --force重写历史，或本地缓存被意外修改），composer update就会复用旧commit，看似“更新成功”，实际装的是过期代码。
- 运行
composer update --dry-run -v，盯住输出里类似Cloninghttps://github.com/vendor/repo.gitto/path/to/cache/vcs/... - 如果看到
Using cached clone，说明它没重新拉——哪怕远程分支HEAD已经变了 - 检查缓存目录是否真的对应目标分支：
cd ~/.composer/cache/vcs/https---github.com-vendor-repo.git && git log -n 3 --oneline，对比远程最新commit
强制刷新VCS缓存的正确操作顺序
不能只靠composer clear-cache，它默认不清理vcs/目录下的Git仓库（除非加--no-interaction且明确指定）。必须手动干预：
- 删掉对应VCS缓存目录：
rm -rf ~/.composer/cache/vcs/https---github.com-vendor-repo.git（路径中的https---和.会被转义为-，注意别手误删错目录） - Windows用户用PowerShell时，路径需写成：
Remove-Item "$env:APPDATA\Composer\Cache\vcs\https---github.com-vendor-repo.git" -Recurse -Force - 删完后立刻跑
composer update vendor/repo --with-dependencies（不要省略--with-dependencies，否则子依赖仍可能锁在旧版本） - 若项目中该包是通过
repositories自定义源引入的，还要确认composer.json里url字段指向的是真实可读的Git地址，而非一个已失效的镜像或代理
VCS依赖被锁死在旧commit的典型信号
不是报错，而是“静默失败”：命令执行成功，但你的代码没变，vendor/repo目录里的文件时间戳、composer show vendor/repo显示的source.reference和你预期的commit hash对不上。
-
composer show vendor/repo输出里source.reference字段值，和你在GitHub/GitLab上看到的目标分支最新commit不一致 → 缓存未刷新 - 执行
git -C vendor/repo log -n 1 --oneline，发现hash和composer show输出一致，但和远程不同 → 问题出在update阶段没触发重拉 - 该包在
composer.lock里标记为"type": "package"或"type": "vcs"，且"reference"字段是硬编码的 → 手动改lock文件极危险，应删lock后重update
避免下次再踩坑的关键点
VCS依赖不像Packagist包有语义化版本号约束，它的“版本”就是commit hash。Composer默认按dev-master或分支名解析，但缓存机制会让它跳过校验直接复用本地clone —— 这个行为本身没错，但容易让人误以为“更新了”，其实只是git pull没做。
- 日常开发中，只要VCS依赖有变更，就默认要删对应
vcs/缓存目录，别信clear-cache - CI/CD流水线里务必加一步：
rm -rf ~/.composer/cache/vcs/*，否则每次构建都可能复用上一次的缓存状态 - 如果你用
composer require vendor/repo:dev-main，注意dev-main不是固定版本，下次update可能拉到新commit；若需锁定，应在composer.json中写"version": "dev-main#abc1234"并配合--no-update再update
VCS缓存不一致最难缠的地方在于：它不报错、不警告，只悄悄给你旧代码。最稳妥的做法永远是——删缓存目录，再看composer update -v日志里有没有真正Cloning或Updating那行。
