Su composer.lock contrastado con los advisories de Packagist, con los paquetes vulnerables y los que se han quedado atrás, y una alerta cuando aparece algo.
php artisan monitor:dependencies
Un fallo en una dependencia no se ve en su código. Se publica un martes, afecta a un paquete que usted no eligió pero que arrastra una de sus dependencias, y nada en su aplicación cambiará de comportamiento para decírselo.
Un comando envía la lista de paquetes instalados y sus versiones. No se lee ninguna fuente ni se sube ningún archivo.
Las restricciones de versión se comparan con composer/semver, así que una versión corregida deja de señalarse sin que usted cierre nada.
Las últimas versiones estables se comparan con las suyas. Una instalación en dev-main o RC nunca se señala: es una decisión, no un olvido.