用第三方就要准备好承担第三方有漏洞的风险，至于后门，既然代码在你手中，那么排查后门应当是你的责任。使用第三方组件，修改的话应当使用面向对象的方法进行修改，而不是直接修改源码

1 你可以 fork 一份源代码，修改你认为的漏洞或后门，然后去 packagist.org 发行你的 releases，在项目中替换原地址即可。

2 不建议直接修改 ./vendor 中的代码，更新时会被覆盖。

1- 通常没有，你发现了的话处理方法同2
2- 别放在vendor里面不就行了，就当做是自己写的东西，HOHO