Nous n'ajoutons généralement pas les fichiers récupérés via composer à nos dépôts de code donc nous n'avons effectivement pas ce problème. Cela dit, rien ne vous empêche d'ajouter web/libraries à votre .gitignore et de ne commit (en force) que les librairies dont vous avez vraiment besoin.

Je ne sais pas pourquoi la récupération de la librairie via bower n'inclut pas les dépendances. Tant mieux si ça vous arrange mais attention car c'est peut-être un bug passager.