composer.lock和composer.json

composer是PHP用来管理项目依赖的管理工具。

在使用composer安装更新项目时，composer install将会读取composer.lock文件，进行更新依赖。如果composer.lock不存在或者里面没有内容，则会执行composer.json，将会最新版本的依赖下载到vendor目录里，然后再去更新composer.lock文件。

多人协作开发的时候，建议将composer.lock提交上去，以便大家的依赖版本统一。composer.lock文件阻止了自动获取最新版本的依赖项。composer update命令更新依赖到最新版本，是一个危险的行为，可能导致类库和以前的代码冲突而不可以运行。更新依赖项可以指定版本更新。

最后终结：composer install 会首先按照composer.lock文件更新依赖，其次是composer.json。 而使用composer update更新时是按照composer.json文件去更新的，更新前务必查看依赖版本信息是否兼容之前的代码。