composer.lock VS composer.json

composer install 命令

从当前目录读取 composer.json 文件，处理依赖关系，创建composer.lock文件， 并把依赖安装到 vendor 目录下。

composer.lock vs composer.json

如果当前目录下存在 composer.lock 文件，它会从此文件读取依赖版本，而不是根据 composer.json 文件去获取依赖。

如果没有 composer.lock 文件，composer 将在处理完依赖关系后创建它。

依赖升级

为了获取依赖的最新版本，并且升级 composer.lock 文件，你应该使用 composer update 命令。

小结

composer.lock 相当于composer依赖关系的缓存文件，有它从它处获取依赖，没它从composer.json并生成缓存。