При первом запуске composer update вызывает ивент post-update - по нем и можно определить- при прст апдейты у нас в демо должно срабатывать chmod для runtime, правда тут не совсем в первый раз срабатывает - а в зависимости от того есть ли composer.lock
композер вызывает плагин, плагин берёт список пакетов , берёт в них список конфигов, генерит конфиги вызван он из up или du - для плагина всегда было всё равно я не понимаю что изменилось