Depende do setup, André. Cada empresa trabalha de uma forma. Uma forma possível e bem simples é ter instalado em ambos.

No ambiente de desenvolvimento (máquina do dev) todas as dependências são instaladas. Em produção (no servidor web da empresa) apenas os pacotes de produção (que não estejam em require-dev) são instalados.

Existem setups muito complexos e outros muito simples. Não existe uma resposta única. :-)

Eu gostaria de aproveitar esse tópico para mencionar que já vi algumas hospedagens impedirem a instalação do composer, com o argumento de que ele é algo que trás vulnerabilidade ao servidor, nesses casos muitas vezes também não temos acesso a linha de comando no servidor, meu questionamento, para gerenciar um projeto assim, o composer ainda é uma boa solução?

Pablo, nesses casos caóticos, a solução ideal é ir para uma hospedagem que te dê liberdade. Mas caso não seja uma possibilidade, você pode enviar a vendor pro servidor.

Pode gerar problemas, mas é uma alternativa