composer.json和composer.lock有什么区别？

composer install - 如有 composer.lock 文件，直接安装，否则从 composer.json 安装最新扩展包和依赖；
composer update - 从 composer.json 安装最新扩展包和依赖；
composer update vendor/package - 从 composer.json 或者对应包的配置，并更新到最新；
composer require new/package - 添加安装 new/package, 可以指定版本，如： composer require kartik-v/yii2-date-range "*"

当一个项目需要多人合作的时候，为了让所有人都使用与您正在使用的完全相同的依赖项。因此，为了保证这一点，Composer官方是建议把composer.lock提交到git上。 每当去更新依赖的时候，都是基于composer.lock,去更新的。composer.lock文件阻止您自动获取最新版本的依赖项。 所有依赖要更新到最新版本，请使用composer update命令,但一般不要使用update命令，因为update命令将更新所有的依赖到最新，这个动作是危险的，这样很有可能导致，最新类库和你以前写的东西冲突，你以前的代码不可用。