指定 git 分支需用 dev-分支名 格式，如 composer require vendor/package:dev-main；含斜杠分支须加引号，如 “dev-feature/login”；composer install 不更新远程最新提交，因依赖 composer.lock 中的 commit hash，应使用 composer update vendor/package 精准更新。
composer require 时怎么指定 Git 分支
直接在包名后面加 dev-分支名 即可，Composer 会自动从对应仓库拉取该分支的最新提交。这不是“安装分支”，而是把分支当作一个开发版本（version）来引用。
常见错误是写成 branch-name 或 refs/heads/branch-name，这会导致 Composer 找不到匹配的版本号而报错：Could not find package ... in a version matching "xxx"。
- 正确写法：
composer require vendor/package:dev-main（Git 默认分支通常是main或master） - 如果分支名含斜杠（如
feature/login），必须用引号包裹：composer require vendor/package:"dev-feature/login" - 不推荐省略
dev-前缀，否则 Composer 会尝试匹配稳定版本约束，大概率失败
为什么 composer install 有时不拉最新 commit
因为 Composer 默认按 composer.lock 中记录的 commit hash 安装，而不是实时 fetch 分支 HEAD。即使远程分支已更新，本地 lock 文件没变，composer install 就不会动。
想强制更新到分支当前最新提交，得用 composer update，但要注意它可能连带升级其他依赖。
- 精准更新单个包：
composer update vendor/package - 避免意外升级其他包：加上
--with-dependencies要谨慎，除非你明确需要其子依赖也同步更新 - 如果只是临时测试，建议先
git clone手动检出，再用path仓库方式引入，更可控
用 repositories 配置私有 Git 分支时的坑
当包不在 Packagist 上，或你想覆盖官方源走自己的 fork，就得在 composer.json 里加 repositories。这里最容易出问题的是 type 和 url 的组合。
-
"type": "vcs"是必须的，不能写成git或github -
url必须是可被 Composer git clone 的地址，https 或 ssh 均可，但 SSH 地址需确保本地已配好 key - 若分支名是
develop，仍要写"version": "dev-develop"，不能只写"develop" - 改完
repositories后，务必删掉vendor和composer.lock，再composer install，否则旧缓存可能干扰解析
dev 分支 vs tag 版本混用的风险
同一个包，一部分人用 dev-main，另一部分人用 1.2.3 tag，会导致依赖解析冲突——Composer 认为它们是不同版本线，无法共存于同一锁文件。
尤其在团队协作中，有人 require 了 dev-main，CI 环境却只允许安装 stable 版本，就会直接失败。
- 上线前务必检查
composer show vendor/package输出的 version 字段，确认不是dev-* - CI 脚本里可加校验：
composer show vendor/package | grep -q "^versions.*dev-" && exit 1 - 长期依赖 dev 分支，说明这个包缺乏合理发版节奏，该推动维护者打 tag，而不是在项目里硬扛不稳定引用
分支不是版本管理的替代品。真正容易被忽略的是：Composer 对 dev- 版本不做稳定性校验，也不进 Packagist 搜索索引，一旦上游删掉该分支，你的构建第二天就可能彻底失败。