有两个疑问：
1.原地址里面的代码有漏洞或后门怎么办？
2.如果下载后有修改，然后更新时会覆盖吗？
1- 通常没有，你发现了的话处理方法同2
2- 别放在vendor里面不就行了，就当做是自己写的东西，HOHO
1 你可以 fork 一份源代码，修改你认为的漏洞或后门，然后去 packagist.org 发行你的 releases，在项目中替换原地址即可。
2 不建议直接修改 ./vendor 中的代码，更新时会被覆盖。
用第三方就要准备好承担第三方有漏洞的风险，至于后门，既然代码在你手中，那么排查后门应当是你的责任。使用第三方组件，修改的话应当使用面向对象的方法进行修改，而不是直接修改源码