不能，composer require 不支持纯 commit hash；必须在 composer.json 的 require 中写 "vendor/package": "dev-branch#commit-hash"（如 dev-main#a1b2c3d4），再执行 composer update vendor/package，且哈希须真实存在于指定分支、为至少 7 位小写 SHA。
能，但必须用 dev-branch#commit-hash 格式写进 composer.json 的 require，再执行 composer update vendor/package —— 直接 composer require vendor/package:abc12345 必报 Invalid version string 错误。
为什么 composer require 命令不支持纯哈希？
Composer 的版本解析器只认三类字符串：语义化版本（如 ^2.0）、分支别名（如 dev-main）、带 # 后缀的完整格式（如 dev-main#abc12345）。纯哈希（abc12345）会被直接判定为非法版本字符串，根本不会进入 Git 检出逻辑。
-
composer require monolog/monolog:abc12345→ 报错Invalid version string "abc12345" -
composer require monolog/monolog:dev-main#abc12345→ 可行，但前提是该 commit 真实存在于main分支历史中 - 分支名不是占位符：如果目标 commit 只在
fix/auth-bug分支上，就必须写dev-fix/auth-bug#abc12345，写dev-main会失败
手动编辑 composer.json 是最稳的做法
命令行容易误触发全量更新或缓存干扰，CI/CD 或团队协作中推荐直接改 JSON。但格式容错率极低，错一个字符就解析失败。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
- 漏掉
dev-前缀，比如写成"monolog/monolog": "main#abc12345"→ 报错Could not find package - 哈希含空格、换行或大小写混用（如
AbC123）→ JSON decode error 或某些镜像服务校验失败 - 哈希太短（少于 7 位）→ 存在哈希冲突风险，尤其在大型仓库中
- 正确示例：
"monolog/monolog": "dev-main#a1b2c3d4e5f67890123456789012345678901234567890"（40 位小写）
私有仓库或 fork 场景必须配 repositories
当包不在 Packagist 上，或你用了自己的 fork，仅靠 dev-branch#hash 不够可靠 —— Composer 默认只查 Packagist 元数据，不会自动发现你的 Git URL。
- 需在
composer.json顶层加repositories块："repositories": [ { "type": "vcs", "url": "https://gitlab.example.com/your-team/package.git" } ] - 同时在
require同级加 package 配置块（不能塞进require里）："your-team/package": { "version": "dev-main", "reference": "a1b2c3d4e5f67890123456789012345678901234567890" } -
reference必须是完整 40 位 SHA-1，缩写会报Reference "xxx" does not exist - 执行
composer update your-team/package才生效；install只读composer.lock里的旧记录
安装后怎么确认真锁住了那个 commit？
别信 composer show 输出的 dev-main —— 它只是别名，掩盖了真实哈希。
- 看
composer.lock里对应包的source.reference字段，值必须是 commit hash，不是main或HEAD - 进
vendor/vendor/package目录，执行git rev-parse HEAD，输出必须和lock文件里一致 - 如果
install失败并报Failed to execute git checkout，大概率是该 commit 已被force-push删除，或远程分支未暴露它
最容易被忽略的一点：即使写对了格式，如果目标 commit 不在远程默认分支（如 origin/main）的历史中，Composer 就无法 fetch 到它——它不会遍历所有分支找哈希，只基于你写的分支名做 git ls-remote 查询。所以先在 GitHub/GitLab 页面打开 /commit/abc12345 确认可访问，比反复重试更省时间。
