но в json нет и половины пакетов, которые прописаны в Lock
"symfony/var-dumper": "4.0.*"
, у него в зависимостях указан "symfony/polyfill-mbstring": "~1.0",
, именно этот пакет указан у меня в .lock, но нет смысла следить за этими зависимостями в ручную — это вредно, опасно и не нужно, все что нужн опакету — композер подтянет:)