Ich bin zwar nicht CTO, sondern nur Requirements Engineer bzw. Produktmanager, aber nach Rücksprache mit dem Team vielleicht zwei Dinge:
Die Recipes und das SDK sind nicht für Projekt-Setups gedacht, sondern nur für lokale Entwicklungsumgebungen.
Die Vermutung von @indianer3c ist vermutlich korrekt, dass du im Prinzip die composer.json der CE erweitert hast. Und die kann dann bei einem Update natürlich nicht durch sich selbst ersetzt werden.
CE-depends->Metapackage-ce-depends->CE
Übrigens noch der Hinweis: Lasst euch nicht irritieren, wenn innerhalb eines Stranges die Versionsnummern der Komponenten abweichen. Es ist völlig normal, wenn ein CE Metapackage 7.0.1 eine CE 7.0.2 required (ohne das jetzt verifiziert zu haben)