Composer 不支持直接用 commit hash 安装，需用 dev-branch#hash 格式，且该 commit 必须存在于远程分支；需设 minimum-stability: dev 或包级 stability: dev，私有库须配置 repositories，安装后通过 git log -n1 验证实际 commit。
用 composer require 安装指定 commit 的包
Composer 本身不支持直接写 commit hash 当作版本号安装，但可以通过 dev-* 分支别名 + #commit-hash 后缀实现。关键在于：必须确保该 commit 在远程仓库的某个分支（如 main、develop）上存在，否则 Composer 找不到对应源。
常见错误现象：Could not find package xxx at version abc123 或 Failed to download xxx: No valid composer.json found，通常是因为 commit 不在任何公开分支上，或未启用 minimum-stability: dev。
- 先确认目标 commit 是否可访问：打开 GitHub/GitLab 页面，检查该 hash 是否能在某个分支的历史中被直接访问（URL 类似
/tree/abc123或/commit/abc123） - 运行命令时显式带上
dev-main#abc123这类格式，例如：composer require monolog/monolog:dev-main#7f8d4b9a3c1e2d5f6a7b8c9d0e1f2a3b4c5d6e7f
- 如果项目
composer.json中"minimum-stability"是"stable"（默认），需临时提升为"dev"，否则会拒绝解析dev-*版本
修改 composer.json 手动指定 commit 版本
适合需要长期锁定某次提交、或配合 CI/CD 自动化部署的场景。手动编辑比命令行更可控，也方便复审。
注意：Composer 会把 dev-branch#hash 解析为“开发版”，并自动设置 "reference" 字段；若后续执行 composer update，它可能升级到该分支最新提交——除非你加了 "prefer-stable": true 或锁死 composer.lock。
- 在
require中写成："monolog/monolog": "dev-main#7f8d4b9a3c1e2d5f6a7b8c9d0e1f2a3b4c5d6e7f"
- 确保
composer.json根级有"minimum-stability": "dev"，或在对应包下加"stability": "dev"（需 Composer 2.2+） - 运行
composer install（不是update），避免意外刷新版本
为什么不能直接用 composer require vendor/name:abc123？
因为 Composer 的版本解析器把纯哈希字符串（如 abc123）识别为“非语义化版本”，默认跳过匹配逻辑；它只对形如 dev-*、v1.2.3、^2.0 等格式做解析。强行写 abc123 会导致 Invalid version string 错误。
另一个容易忽略的点：私有 Git 仓库需配置 repositories，否则即使写了 dev-main#xxx，Composer 仍会去 Packagist 查找，结果报 404。
- 私有包必须在
composer.json中声明repositories，类型为vcs，URL 指向 Git 地址 - 示例：
"repositories": [ { "type": "vcs", "url": "https://gitlab.example.com/myorg/mylib.git" } ] - 然后才能用
"myorg/mylib": "dev-main#xxx"
安装后如何验证是否真用了指定 commit？
仅靠 composer show 看版本号不够，因为它显示的是 dev-main，不是实际 commit。真正可靠的方式是查 vendor/ 下对应包的 .git/HEAD 或运行 git log -n1。
快速验证命令（以 monolog/monolog 为例）：
cd vendor/monolog/monolog && git log -n1 --oneline
- 输出第一行应与你指定的 hash 完全一致（或前 7 位匹配）
- 如果看到的是其他 commit，说明 Composer 回退到了分支最新版——大概率是
composer.lock里记录的 reference 被覆盖了，或执行了composer update monolog/monolog -
composer.lock中每个包条目下的"source"→"reference"字段，就是最终生效的 commit hash，务必核对
