Composer install 不支持直接用本地 Git 仓库还原 vendor；它默认按 composer.lock 精确校准已存在包，版本或哈希不符则删除重装，而非跳过。
Composer install 时如何跳过远程包拉取，直接用本地 Git 仓库还原 vendor
先说一个核心事实：Composer 本身并没有提供一个内置命令，让你能一键“回滚到某次 composer install 的状态”。不过，如果你的项目 vendor 目录曾经被 Git 跟踪过（或者你有完整的备份），那么最快、最可靠的恢复方法，其实是放弃重新安装，直接用 Git 检出历史的快照。当然，这一切的前提是，你的 vendor 目录确实被提交过。
哪些场景下会特别需要这个操作呢？比如，composer install 卡在某个包的下载上迟迟不动；或者一次 composer update 引入了不兼容的版本，导致应用运行报错；再比如，CI/CD 构建流程因为网络问题中断，你需要秒级恢复环境继续构建。
- 这个方法只在
vendor目录曾经被git add vendor并提交过的项目中有效。如果你的项目遵循标准做法，在.gitignore里忽略了vendor，那这个方法就不适用了。 - Git 仓库必须保留着完整的历史记录，不能因为某些强制推送（
git push --force）而覆盖掉了关键的提交。 - 在检出之前，务必确认当前的
composer.lock文件与目标vendor快照是匹配的，否则类自动加载或符号解析很可能会失败。
如何安全地把 vendor 加进 Git（仅限私有/离线环境）
首先必须强调，将 vendor 纳入版本控制并非推荐做法。但在一些特定场景下——比如内网开发、没有可用的 Packagist 镜像，或者对部署一致性要求达到“原子级”的离线环境——这可能是实现“秒级回滚”的唯一可行方案。问题的关键不在于“能不能加”，而在于“怎么加才不会破坏 Composer 的正常工作流”。
- 第一步，必须在项目的
.gitignore文件中，显式地移除或注释掉忽略/vendor/的那一行，否则后续的git add vendor命令会无效。 - 首次添加时，需要使用
git add -f vendor来强制添加（以绕过 .gitignore 规则）。之后的更新，直接用git add vendor即可。 - 每次执行完
composer install或composer update后，应该立即将composer.lock和vendor目录一起添加并提交（git add composer.lock vendor），形成一个“锁文件与二进制包”配对的完整快照。 - 避免混合操作模式：不要一边用
git checkout恢复了旧的vendor，另一边又去执行composer dump-autoload。因为自动加载器的生成逻辑，可能与检出的旧版文件结构不一致。
用 git checkout 还原 vendor 的具体操作链
整个操作的核心逻辑可以概括为三步：定位历史提交、清理工作区干扰、执行目录检出。这里的重点，在于如何规避 Git 默认的“不覆盖已修改文件”的保护机制。
- 首先，运行
git status，确保当前工作区是干净的。如果有未提交的变更，要么用git stash暂存起来，要么仔细评估这些变更是否会影响vendor目录（例如，你是否手动修改过某个依赖包的源代码）。 - 接着，使用
git log --oneline -n 20 -- vendor命令，查看vendor目录近期的修改历史，从中挑选出你想要恢复的那个目标提交的哈希值（例如a1b2c3d）。 - 然后，执行
git checkout a1b2c3d -- vendor。注意这里的双横线--分隔符很重要，它能防止 Git 将vendor误认为是一个分支名称。 - 最后，视情况运行
composer dump-autoload。这一步通常只在项目配置了 classmap 或 files 类型的自动加载，并且vendor内部结构确实发生了变化时才需要。
为什么不用 composer install --no-install && git reset？
可能有人会想到另一种思路：先用 git reset --hard 回退整个项目到某个历史版本，然后再重新执行 composer install。这听起来很合理，但实际上暗藏两个隐性风险：
composer install的执行依赖于当前的网络状况、PHP 扩展环境以及 Packagist 服务器的响应状态——其中任何一个环节出现异常，整个过程就会被卡住，“快速恢复”的意义也就丧失了。- 即便安装过程一切顺利，在不同时间点执行的
composer install，也可能因为镜像缓存策略、压缩算法的微调，甚至是操作系统平台的差异（比如 Windows 和 Linux 对符号链接的处理方式不同），而产生略有不同的vendor文件树结构。这意味着，你无法保证重新安装出来的结果与历史版本完全一致。 - 本质区别在于：Git 检出是字节级别的精确还原，而 Composer 安装是一个按规则重建的过程。前者是“恢复”，后者是“再生产”。
这里有一个真正容易被忽略的要点：一旦你决定将 vendor 目录纳入 Git 跟踪，就必须把它当作一个“构建产物”来严格管理。这意味着，每次 vendor 发生变更，都必须同步提交与之匹配的 composer.lock 文件。漏掉其中任何一个，下一次的 checkout 操作就可能导致环境失配，恢复失败。
