要在 composer.json 中安装指定分支，需设 "minimum-stability": "dev" 且 "prefer-stable": false，或对单个包用 "dev-branch as version"@dev；私有库须配置 repositories vcs；命令行可用 composer require vendor/pkg:dev-branch。
composer.json 里怎么写才能安装指定分支
直接在 require 中写分支名（比如 "dev-main" 或 "dev-develop"）是可行的，但必须同时满足两个条件：包仓库已配置、且该分支存在。Composer 默认不信任开发分支，所以要显式允许——在 composer.json 根级加 "minimum-stability": "dev"，并配 "prefer-stable": false（否则即使写了 dev-main 也会 fallback 到最近 stable tag）。
常见错误现象：Could not find package xxxxx at version dev-main，大概率是没开 minimum-stability，或远程仓库压根没这个分支（注意：不是本地有就行，得是 packagist.org 或你配置的 VCS 源里能查到）。
-
"minimum-stability"是全局开关，影响所有依赖；设为"dev"后，所有包都可能装dev-*分支，慎用 - 更安全的做法是只对特定包放宽限制：在
require条目后加"@dev"，例如"myvendor/mypackage": "dev-main as 1.0.0" -
"as"别名很重要——它把分支“伪装”成某个版本号，避免因无正式版本导致其他依赖解析失败
用 repository + vcs 指向私有 Git 分支
当你引用的是 GitHub/GitLab 私有库，或想绕过 Packagist 直接拉某个 fork 的分支时，必须手动加 repositories 配置。VCS 类型必须明确写 "type": "vcs"，URL 必须是可 git clone 的地址（支持 HTTPS/SSH）。
示例：引用 GitHub 上某 fork 的 feature/login 分支：
{
"repositories": [
{
"type": "vcs",
"url": "https://github.com/yourname/package-name.git"
}
],
"require": {
"vendor/package-name": "dev-feature/login"
}
}
注意点：
- 分支名带斜杠（如
feature/login）时，require中必须写成dev-feature/login，不能漏掉dev-前缀 - 如果该分支从未打过 tag，Composer 会报
no matching package found，此时需确认：① 本地git ls-remote能列出该分支；② 远程仓库未设 private token 限制（尤其自建 GitLab） - 执行
composer update vendor/package-name时，Composer 会重新 fetch 远程 refs，但不会自动清理旧的 vendor 缓存；若换分支后仍加载旧代码，先删vendor/vendor/package-name再重装
安装时临时指定分支（不用改 composer.json）
调试阶段不想改配置？用 composer require 命令行直接指定分支最省事：
composer require vendor/package-name:dev-main
这条命令会自动修改 composer.json 和 composer.lock，等价于手动写入 "dev-main" 并运行 update。但它有个隐藏行为：如果包原本已存在，且 composer.json 里写的是稳定版本（如 "^2.0"），执行这条命令会覆盖整条依赖声明，变成纯 dev-main ——后续 composer update 不再受原约束控制。
- 想保留版本约束又临时切分支？用
--with-all-dependencies不解决根本问题，稳妥做法仍是手动编辑composer.json，加@dev后缀 - 命令行中写
dev-main时，冒号前后不能有空格；若提示invalid version string，检查是否误输成了dev/main或漏了dev- - 执行后留意
composer.lock里对应包的"reference"字段——它记录的是实际 commit hash，不是分支名。这意味着即使远程分支被 force push，本地 lock 文件不会自动更新，得手动composer update
分支 vs tag：为什么有时装不到最新提交
很多人以为写 dev-main 就能实时同步 main 分支最新代码，其实不然。Composer 安装时依据的是 composer.lock 中锁定的 commit hash；只有运行 composer update vendor/package-name 才会重新解析分支 HEAD 并更新 lock 文件。
更隐蔽的问题是：某些 Git 仓库（尤其是 Bitbucket）对 git ls-remote 返回的 refs 做了缓存或权限过滤，导致 Composer 拉不到最新分支头。验证方法：
- 手动执行
git ls-remote https://github.com/vendor/repo.git refs/heads/main，看返回的 commit 是否和 GitHub 页面一致 - 如果返回空或旧 hash，说明不是 Composer 问题，而是远程源延迟或权限异常
- CI 环境中常见问题：Git credentials 缺失导致
vcs源 fallback 到 zip 包下载，而 zip 包只包含 tag，不包含分支快照
真正需要“每次 install 都拉最新”的场景极少，多数时候应优先打语义化 tag 并引用具体版本。分支引用适合功能联调、紧急 hotfix 验证，上线前务必切回稳定 tag。
