composer.lock в библиотеке

Почему стоит держать composer.lock в репозитории на примере библиотеки my-либа

1. composer.lock не мешает установки my-либы
2. composer.lock гарантирует факт прохождения тестов (если тесты написаны без ошибок)
3. при падении тестов отсутствие composer.lock не позволяет быстро понять - проблема в тестах или проблема в vendor-либах
4. my-либа никому не должна оказывать поддержку всевозможных версий vendor-либ, потому что знает, что работает только с определенными версиями vendor-либ и лишь теоретически предполагает работу неопределенными с версиями vendor-либ
5. если my-либе сделан CI (тесты), то он не должен падать по причине того, что vendor-либа обновилась с косяком/несовместимой фичей, следовательно падение CI не повод разработчику срочно лезть и добавлять поддержку косяка/фичи vendor-либ (у разработчика и своих задач много), а вот если кому-то понадобится поддержка этой фичи вендора, то пусть создает задачу которую в рамках приоритета может быть выполнена

Если выше указанных обоснований недостаточно, то вы всегда можете composer.lock переименовать на composer.lock.dist