如何在 Composer 中为一个依赖包指定一个特定的 Git commit hash？

可在composer.json中用commit hash替代版本号，需带分支前缀如dev-main#abc1234，且须配置VCS仓库确保可访问，执行composer update或install即可精确检出指定提交。

可以直接在 composer.json 中用 commit hash 替代版本号，Composer 会精确拉取该提交。

使用 commit hash 作为版本约束

在 require 或 require-dev 中，把包的版本号写成具体的 40 位（或短格式）git commit hash 即可。Composer 会自动识别为“精确提交”，并从对应仓库检出该 commit。

• 完整 hash 示例："monolog/monolog": "dev-main#abc1234567890123456789012345678901234567"
• 短 hash 也支持（只要能唯一标识）："monolog/monolog": "dev-main#abc1234"
• 注意必须带上分支名前缀（如 dev-main、dev-master），否则 Composer 无法定位仓库

确保仓库地址正确且可访问

Composer 默认从 Packagist 拉取，但 commit hash 只对 VCS 包有效。如果包不在 Packagist，或你想覆盖源，需显式配置仓库：

芦笋演示

一键出成片的录屏演示软件，专为制作产品演示、教学课程和使用教程而设计。

227

查看详情

• 在 composer.json 中添加 repositories 字段，指定 Git URL
• 例如：{"type": "vcs", "url": "https://github.com/Seldaek/monolog"}
• 私有仓库需提前配置 ssh 或 Token 认证（如 git@github.com:user/repo.git）

执行安装或更新

改完 composer.json 后运行：

• composer update vendor/package-name（只更新指定包）
• 或 composer install（若已锁定了 hash，会严格按 composer.lock 恢复）
• 成功后可在 vendor/ 下看到该包的 .git/HEAD 指向你指定的 commit

基本上就这些。不复杂但容易忽略分支前缀和仓库可访问性。