为了使用部署脚本部署代码而不是登录到服务器上用命令行，我需要尽量简化部署步骤。
相对来说，composer 会简单一些，因为只要提交 composer.lock 文件然后 composer install --no-dev 即可。经测试 bower install --production 它是不会自己去更新了安装新依赖的，只会从缓存里安装。所以需要想个办法。
Value must be a valid semver range, a Git URL, or a URL (inc. tarball and zipball).
按照官网上的描述，只允许版本号、Git URL 或者安装包 URL。然则我试了一下，写 “#+版本号” 也是可以的，所以我们现在是这样：
{
"dependencies": {
"tiger-prawn": "#68fa36ceb88c1b0e9b9472b6901d957f424e50b7"
}
}