c0dex, ты что-то запутался, вендор - один общий, а cpmposer.json рекурсивно обходятся и рассчитываются зависимости, чтобы как раз не таскать их отдельно и быть уверенным что версии одни и те же. Это не вопрос о ларавел и его воркбенче, это касается всех пакетов.
У меня тут недавно разногласия с коллегой вышло о собеседованиях, я предпочитаю на собеседованиях спрашивать о компосерах и готовых пакетах, а не о том, как выбрать 10 случайных записей из огромной базы. Топик подсказывает, что я прав.