Вопрос не тривиальный, но всегда можно договориться! И, конечно, разговор снова о Composer (пакетном менеджере php):

Приоритеты репозитория в Composer

Для того, чтобы не было подстав, когда кто-то что-то форкнул, пропатчил и объявил более свежей версией (чего-нибудь популярного)... и пошла волна заражением чем-нибудь неприятным... нужно знать и понимать, как Composer работает с выбором того, какой же всё-таки пакет тянуть и устанавливать при запросе на его использования.

Правила достаточно простые и понятные. Достаточно гибкие, чтобы Composer смог разобраться с тем, что же всё-таки и откуда тянуть, а всё остальное - обходить стороной.

Продолжение преследует! ✌😺🏴‍☠