Обычно в комозере фиксируют только можарную версию пакета. Потому что минорная по замыслу не должна никогда ломать обратную совместимость. Но конкретно для ядра Друпала и контриб модулей я фиксирую даже патч версию. Потому что там после обновления надо запускать drush updb, drush cr и т.д.