Si fa tutto con un file composer.json, per questo esistono le direttive "require" e "require-dev".
Pericoloso non lo è, al limite l'utente finale installerà roba che non gli serve, ma di solito chi prende un software da github da installare sa anche come farlo.
composer install
per installare tutto

composer install --no-dev
per installare solo la versione "production" del software