composer.json 定义依赖版本约束，composer.lock 锁定实际安装的精确版本；前者是依赖需求清单，后者确保环境间一致性，两者协同实现可靠依赖管理。
在使用 Composer 管理 PHP 项目依赖时，composer.json 和 composer.lock 都是核心文件，但它们的作用完全不同。
composer.json：声明项目依赖需求
这个文件是你手动编写或通过命令生成的，用于定义项目所需的依赖包及其版本约束。
- 列出项目需要的包，比如 "monolog/monolog": "^2.0"
- 支持版本约束，如 ~、^、>= 等，允许一定范围内的更新
- 开发者可以修改它来添加、删除或升级依赖
- 提交到版本控制系统（如 Git），让团队成员了解项目依赖结构
composer.lock：记录确切安装的依赖版本
这个文件由 Composer 自动生成和维护，记录了当前环境中实际安装的每一个依赖包及其精确版本。
- 包含所有依赖（包括嵌套依赖）的完整树结构
- 每个包都指定了 exact version（例如 "version": "2.1.0"）和对应的 dist 或 source 信息
- 确保在不同环境（开发、测试、生产）中安装完全一致的依赖
- 必须提交到版本控制，以保证部署一致性
两者协同工作的流程
当你运行 composer install 时：
- 如果存在 composer.lock，Composer 会严格按照 lock 文件中的版本安装，忽略 json 中的版本约束
- 如果没有 lock 文件，Composer 才会根据 composer.json 解析最新符合约束的版本，并生成新的 lock 文件
当你运行 composer update 时：
- Composer 会根据 composer.json 中的约束重新解析依赖，升级到符合条件的较新版本
- 同时更新 composer.lock 文件
关键区别总结
- composer.json 是“愿望清单”——你想装什么
- composer.lock 是“安装快照”——你实际装了什么
- 开发环境改依赖用 json，部署环境靠 lock 保证一致
- 不要手动编辑 lock 文件，应由 Composer 自动管理
基本上就这些。只要记住：json 定义规则，lock 锁定结果。两者配合才能实现可重复、可靠的依赖管理。
