Получается lock-файл должен быть точно в гите, чтобы на проде лишних вопросов не было

Он сгенерится при первой установке, при первой установке ничего спрашиваться не будет, а в последующих обновлениях он уже будет. Поэтому в гите он особо не нужен.

1. Если у меня 100 пакетов и для пяти из них я вытащил конфиги в приложение, мне за исключением совершенно редких кейсов абсолютно пофигу, что у какого конфига в вендоре лежит.

Потому что все необходимые настройки у меня под рукой в приложении в пяти файликах. Я легко в них ориентируюсь и быстро всë найду.

Как в том примере что приводили недавно с использованием Yii 3, без использования конфиг плагина.

Почему-то автор не стал тащить сотню папок и файлов, а создал только минимум необходимого.

Второе. При наличии файлика-реестра конфигов из вендора, можно зайти в этот файл в IDE  и дальше перейти к любому из тех что в списке. Не нужно лазить по вендору, они уже собраны в список.

Количество кликов будет таким же как и при копировании "всея вендора".

по смыслу он должен быть в гите. если заново разворачиваешь проект (к примеру на другой машине), то дифф не отобразится

Если тебе нужно будет посмотреть настройки дефолтные, то придётся лезть в vendor. А там количество пакетов больше, чем количество копий в config/packages.

А его и не будет (дифа), так как ты же делаешь composer install

2. Это не должно закрываться пакетом и вообще присутствовать, так как это всë усложняет.

Если я не менял приложение а только обновил пакет то измениться в приложении должен только композер.лок

да, но ты на дев машине можешь сразу composer update запустить

Для этого же есть файлик в котором всë перечислено. Ну кому я писал (

если так, то дальше надо ручками конфиг поправить ещё, а сейчас это полуавтоматизировано

Ну переложи тогда директорию с конфигами в vendor или добавь в gitignore если тебе так приятней.

Зачем?

Ну если пакет требует изменения конфигурации

Это только если все конфиги дефолтные, а как быть с теми, которые изменил?

Если заново разворачиваем, и лок-файл есть то полезут сообщения, не полезут только при —no-interaction.

Ну это всё-равно надо искать в 3-х местах как минимум:

1. Сходить в план, посмотреть что откуда (ага, знал бы я ещё какой это пакет).
2. Потом поискать в configs приложения.
3. Потом поискать в configs vendor.

Дико неприятно.

А то взял, сделал поиск по параметру или имени класса в configs/packages и всё

Не только мне, я уверен что это будет больным местом у всех кто будет пользоваться фреймворком.

Не надо на меня сваливать, это не я изобретаю новую схему не взирая на то чем люди реально пользуются

Почему требует изменения конфигурации?