Честно, много про Composer слышал, но на практике часто всё выходит через одно место из-за версий PHP и зависимостей. Вроде бы и lock-файл есть, а конфликты всё равно вылазят. Наверное, без осторожности не обойтись, но мало кто предупреждает, что даже просто обновление пакетов может убить проект без особых ошибок. Чуть что — лучше не торопиться с update, а то потом вечно копаться.