Есть сновное приложение vendor/app
у него в composer.json несколько зависимостей
vendor/package1,vendor/package2,vendor/...
Вот когда мы мержим к примеру в master vendor/package2
В vendor/app нужно сделать на новой ветке composer require vendor/package2 и пулл в мастер с изменениями composer.json и composer.lock