直接用composer require vendor/package:dev-main#abc123456可安装指定commit，需满足：仓库公开可访问、main分支存在、该哈希真实存在；私有仓库须在repositories中声明vcs源；哈希必须完整或足够唯一，且需--prefer-source确保检出精确提交。
composer require 怎么指定某个 commit 哈希安装
直接用 composer require vendor/package:dev-main#abc123456 就行，但必须满足三个前提：目标仓库是公开可访问的 Git 地址（如 GitHub）、main 分支存在、该哈希 abc123456 确实存在于该分支上。
这里 dev-main 是占位符，不是真要切到 main 分支；Composer 实际靠 # 后面的哈希定位提交。你也可以写成 dev-master#abc123456 或 dev-develop#abc123456，只要那个分支包含该提交即可。
-
dev-main#abc123456是最常用写法，适合现代默认分支为main的仓库 - 哈希必须是完整 40 位（Git CLI 默认输出）或至少前 7 位——但 Composer 要求能唯一匹配，建议用完整哈希或至少 8 位
- 如果报
No version match，大概率是哈希不存在、拼错、或仓库 URL 不在 Packagist 上且没声明repositories - 不加
#只写dev-main会装最新提交，不是你想要的“锁定”效果
私有仓库或未发布提交必须显式声明 repositories
对 GitHub 公共包，composer require 直接加 dev-xxx#hash 通常能走通；但私有仓库、GitLab 自托管、或某次提交还没推送到远程时，Composer 默认找不到源，必须手动告诉它“去哪找”。
在 composer.json 的 repositories 字段里加一条 vcs 类型源：
{
"repositories": [
{
"type": "vcs",
"url": "https://gitlab.example.com/team/pkg.git"
}
]
}
-
type必须是vcs，不能是package或composer -
url必须是可 clone 的地址，支持 HTTPS 和 SSH（如git@gitlab.example.com:team/pkg.git） - 不需要在
repositories里写版本号，require字段里的dev-main#abc123456才是关键 - 如果仓库
composer.json里name是myorg/my-pkg，那require也必须写"myorg/my-pkg": "dev-main#abc123456"，名字必须完全一致
为什么 dev-abc1234 不行，而 dev-main#abc1234 可以
dev-abc1234 看起来直观，但 Composer 不认——它只把 dev- 开头的字符串当分支别名处理，不会自动解析哈希。真正支持哈希定位的是 # 语法，这是 Composer 内置的“commit reference”机制。
-
dev-abc1234会被当成一个叫abc1234的分支，如果仓库里没有这个分支，就失败 -
dev-main#abc123456中dev-main仅用于确定代码来源分支，#abc123456才触发精确提交检出 - 执行时 Composer 会先 fetch 整个仓库，再用
git checkout abc123456定位，所以要求本地能跑 git 命令，且需加--prefer-source（否则可能 fallback 到 dist 包，而 dist 不含任意 commit） - CI 环境若禁用了
--prefer-source，记得在composer install时显式加上，否则哈希锁定失效
装完怎么验证是否真锁到了指定 commit
别只信 composer.json 里写的字符串。真正起作用的是 composer.lock，它记录了实际下载的源和引用。
打开 composer.lock，搜索你的包名，找到对应条目，检查两个字段：
-
"version"应该是类似"dev-main#abc123456"的字符串（不是1.2.3这种语义化版本） -
"source"下的"reference"必须等于你指定的哈希，比如"reference": "abc1234567890..." - 进
vendor/vendor/package目录，运行git log -1 --oneline，输出第一行应与该哈希一致 - 如果
composer.lock里reference是别的值，说明之前装过别的版本，得先删掉vendor/和composer.lock中该包条目，再composer install
最容易被忽略的是：团队协作中忘记提交 composer.lock，或者 CI 脚本误用 composer update 而非 composer install，导致哈希锁定形同虚设。
