Александр

Можно "ставить под контроль" файл composer.lock - после pull'а на продакшене запускается "composer install" и версии пакетов всегда те же, что и у разработчика.