Как это понимать(composer.json)?
Скорее всего потому что его нет в зависимостях у leopandro/yii2-user
На правах догадки:
Возможно composer решил подчистить неиспользуемую зависимость, которую вы устанавливали когда-то ранее, и убрали из списка зависимостей позже.