可在composer.json中用commit hash替代版本号，需带分支前缀如dev-main#abc1234，且须配置VCS仓库确保可访问，执行composer update或install即可精确检出指定提交。
可以直接在 composer.json 中用 commit hash 替代版本号，Composer 会精确拉取该提交。
使用 commit hash 作为版本约束
在 require 或 require-dev 中，把包的版本号写成具体的 40 位（或短格式）Git commit hash 即可。Composer 会自动识别为“精确提交”，并从对应仓库检出该 commit。
- 完整 hash 示例：
"monolog/monolog": "dev-main#abc1234567890123456789012345678901234567" - 短 hash 也支持（只要能唯一标识）：
"monolog/monolog": "dev-main#abc1234" - 注意必须带上分支名前缀（如
dev-main、dev-master），否则 Composer 无法定位仓库
确保仓库地址正确且可访问
Composer 默认从 Packagist 拉取，但 commit hash 只对 VCS 包有效。如果包不在 Packagist，或你想覆盖源，需显式配置仓库：
- 在
composer.json中添加repositories字段，指定 Git URL - 例如：
{"type": "vcs", "url": "https://github.com/Seldaek/monolog"} - 私有仓库需提前配置 SSH 或 token 认证（如
git@github.com:user/repo.git）
执行安装或更新
改完 composer.json 后运行：
-
composer update vendor/package-name（只更新指定包） - 或
composer install（若已锁定了 hash，会严格按composer.lock恢复） - 成功后可在
vendor/下看到该包的.git/HEAD指向你指定的 commit
基本上就这些。不复杂但容易忽略分支前缀和仓库可访问性。
