Сам в начале пытался править в vendor — сплошная беда, баги полезли отовсюду. Сейчас всегда через composer обновляю зависимости и сразу делаю dump-autoload — реально экономит время и нервы. Файл composer.lock не трогаю без крайней нужды, чтобы версиями не путаться. В общем, проще сразу привыкнуть к правильной схеме, чем потом отлавливать скрытые ошибки.