Um die Abhängigkeiten in Drupal abbilden zu können benutzen wir Composer. Das ist auch klasse, wenn jedes Modul ein Release hat, das einfach so installiert werden kann. Doch oft genug kommt es vor, dass man doch auf ein dev Release zurückgreifen muss und wenn man dann einfach ein
composer require vendor/name:"1.x-dev"
benutzt, dann hat man zwar die neuste Version bekommen, aber auch weniger Kontrolle über das Update. Vielleicht hat die neue dev das Problem, dass ein Patch nicht mehr funktioniert oder es fliegt ein Feature raus, das wichtig ist. Um das zu vermeiden kann Composer auf einen commit festgelegt werden.
composer require vendor/name:"1.x-dev#<commit-id>"
Damit wird beim Composer Update nichts mehr überschrieben was wichtig sein könnte, erfordert aber, dass Aktualisierungen der dev Version selbst überwacht werden und installiert werden müssen.