Часто забывают, что composer.lock — это не просто файл, а как чеклист по версиям, на котором держится стабильность проекта. И реально, если в vendor лазить руками — потом долго будешь лечить баги, которые сложно отследить. dump-autoload реально спасает, когда добавляешь новые классы, иначе автозагрузка ломается без предупреждения. В общем, лучше не халтурить с этими моментами, иначе можно залипнуть на простых вещах.