composer.json - ваш список ингредиентов; composer.lock - ваш список ингредиентов для вашего секретного рецепта. Один общий, другой специфический.
Если вы хотите протестировать другую версию пакета, ваш файл composer.lock будет обновлен; это должно, нет выбора. Тем не менее, вы правы, что захотите создать ветку своего проекта, чтобы проверить это.
Ищите CHANGELOG или UPGRADE в репозитории пакета или в их документах. Если вам повезет, у этого репозитория есть инструкции и предостережения по обновлению пакета.
Если это обновление патча, протестируйте его. Если это небольшое обновление, протестируйте его. Если это серьезное обновление, протестируйте его. Это пример того, где пригодятся хорошие юнит-тесты и интеграционные тесты. Если вы не знаете, как определить, является ли это обновление, незначительное или значительное обновление, ознакомьтесь с семантическим версионированием .
Веселись!