唯一可靠方式是dev-分支名#commit-hash格式，因Composer仅此语法触发VCS强制检出指定commit；裸哈希不被识别，@会被误解析为分支名，短哈希不唯一，且需40位完整哈希、真实分支名及VCS源支持。
直接用 dev-分支名#commit-hash 格式写进 composer.json 的 require 字段，是 Composer 唯一被隐式承认、无需额外配置就能生效的提交级锁定方式。
为什么不能只写 commit hash？
Composer 版本解析器根本不识别裸哈希（如 "monolog/monolog": "abc1234"），会报 Could not find package 或静默 fallback 到 latest。它只把 dev- 开头的字符串当作“开发版别名”来处理，而 # 后的部分会被 VCS 驱动提取为精确检出目标。
-
"monolog/monolog": "dev-main#abc1234567890abcdef1234567890abcdef123456"✅ 正确（40 位完整 hash） -
"monolog/monolog": "abc1234"❌ 解析失败 -
"monolog/monolog": "dev-main@abc1234"❌@不是语法分隔符，会被当成分支名一部分，导致 clone 失败 - 分支名含斜杠（如
feature/login-flow）必须 URL 编码为feature%2Flogin-flow，否则解析中断
怎么验证实际检出的就是目标 commit？
光看 composer.lock 里的 source.reference 不够——它只记录当时解析结果，不防 force-push 覆盖。真正可靠的验证必须落到本地 Git 工作区：
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 进入包目录：
cd vendor/monolog/monolog - 执行：
git rev-parse HEAD，输出必须与你写的 hash 完全一致 - CI 中建议加校验脚本：
composer show -s monolog/monolog | grep -q "abc1234567890$" - 若
git rev-parse报错，说明 vendor 下不是真实 Git 工作区（比如用了 zip dist），需确认没启用preferred-install: dist或私有源未配凭证
repositories + dev-hash 是更稳的兜底方案
当目标 commit 不在默认远程分支历史中（例如孤立 feature 提交、私有仓库未同步到 Packagist），就必须显式声明源：
{
"repositories": [
{
"type": "vcs",
"url": "https://github.com/your-org/your-package"
}
],
"require": {
"your-org/your-package": "dev-7a8e5d1f6b0c9c7a9e8d7f6a5b4c3d2e1f0a9b8c"
}
}
-
version字段值必须是dev-+ 完整 hash，且该 hash 必须真实存在于仓库中 -
name必须与目标仓库composer.json中的name完全一致 - 公开包（如
laravel/framework）可跳过repositories，直接composer require laravel/framework:dev-8a7b6c5d --with-all-dependencies - 私有 GitLab/GitHub 仓库需确保 SSH key 或 token 可访问，否则 clone 会卡住或失败
最易被忽略的一点：锁定 commit 后，composer update 仍可能改变它——只要远程分支被 push 新提交，dev-main#abc1234 就失效（因为 main 分支指针已移），此时 composer install 会报错或 fallback。所以 commit 锁定本质是“单次快照”，不是长期保障；临时修复后务必尽快切回正式版本号。
