Composer PHP en entorno de produccion

[jvier]

Saludos! aquí con la pregunta de como usar composer en entornos de producción?

Me explico: en producción se elimina el archivo composer.json? y el composer.lock?
la carpeta vendor la puedo renombrar? o como le hago para que estos archivos (que son muy conocidos) no sean accedidos desde la url?

Perdón por la ignorancia pero es que en estos momentos requiero de unas librerías que fueron desarrolladas usando composer.. y pues estoy aprendiendo.. nunca lo había usado
Gracias!

Otra duda! composer en algunos requerimientos hace clones de algunos repositorios.. mi duda es: con estos clones existe alguna 'vinculación' con el repositorio que me auto actualiza mi copia de archivos cuando lo actualizan?

Es que les comento.. si fuera así, siento que seria inseguro para mi aplicación y mi servidor porque no sabría que código nuevo o archivos nuevos se están metiendo en mi servidor. por ejemplo esta el Wordpress.. Que cuando uno menos espera ya esta actualizado y ni se sabe que nuevos archivos hay con los cuales podrían hasta ver y modificar mis archivos o base de datos. (Suena medio paranoico, pero es porque desconozco todo esto).