使用 commit hash 安装库需在 composer.json 中将版本设为 dev-分支名#commit-hash，如 "dev-master#abc1234"，可配合 vcs 仓库配置，确保提交存在且仅用于临时调试，避免生产环境长期依赖。
要在使用 Composer 安装某个库的指定 commit hash 版本，你可以通过在 composer.json 文件中修改对应包的版本约束来实现。Composer 支持直接引用 Git 仓库中的特定提交，适用于需要测试未发布版本或临时修复的情况。
1. 使用 commit hash 指定版本
在 composer.json 中，将目标包的版本设置为你要安装的 commit 的完整或短哈希值，并以 dev- 开头，后面跟上分支名或 dev-master 等开发分支，然后用 # 附加 commit hash。
例如：
{
"require": {
"vendor/package": "dev-master#abc1234"
}
}
这里 abc1234 是你想要安装的 commit 的短哈希（推荐使用至少7位），也可以使用完整的40位 SHA-1 哈希。
2. 使用 VCS 仓库方式（可选）
如果你要安装的包不在 Packagist 上，或者你想更明确地控制源码来源，可以添加 vcs 类型的仓库：
{
"repositories": [
{
"type": "vcs",
"url": "https://github.com/vendor/package.git"
}
],
"require": {
"vendor/package": "dev-master#abc1234"
}
}
Composer 会从指定的 Git 仓库拉取代码，并检出到该 commit。
3. 注意事项
- 确保 commit hash 对应的提交存在于远程仓库中，否则安装会失败。
- 使用 commit hash 时，Composer 会以“脏”状态锁定版本，可能导致更新行为不可预测，不建议在生产环境中长期使用。
- 如果该 commit 后来被垃圾回收（如 branch 被删除），可能会影响后续部署。
- 运行 composer install 或 composer update 后，可以在 composer.lock 中看到具体解析到的 commit。
基本上就这些。只要格式正确，Composer 就能拉取指定 commit 的代码。虽然方便调试，但记得尽快切换回稳定版本标签。
