Composer 2.11.0、vendor 脱出と lock へのトークン混入

dist の失敗時に source へ落ちる挙動と source-fallback は 2.11.0 で消える。cooldown は既定オフで、有効にするとセキュリティ修正も公開直後は入らない。