composer.json 定义项目依赖需求，包含基本信息、require和require-dev等；composer.lock 记录实际安装的精确版本和完整依赖树，确保环境一致性。
在使用 Composer 管理 PHP 项目依赖时，composer.json 和 composer.lock 是两个核心文件，它们各自承担不同的职责，协同工作来确保依赖的一致性和可重复安装。
composer.json：定义项目依赖需求
这个文件是开发者手动编写或通过命令生成的，用于声明项目的元信息和依赖关系。
它主要包含：
- 项目名称、描述、作者等基本信息
- require：列出项目运行所必需的外部包及其版本约束（如 "php": "^8.1", "monolog/monolog": "^2.0"）
- require-dev：开发阶段需要的包，如测试工具、代码分析工具等
- 自动加载配置（autoload）、脚本钩子、仓库源等设置
当你运行 composer require vendor/package 时，Composer 会自动修改 composer.json 并安装对应包。
这个文件是必须提交到版本控制中的，因为它告诉别人你的项目需要哪些依赖。
composer.lock：锁定实际安装的依赖版本
这个文件由 Composer 自动生成和维护，记录了当前环境中所有依赖包的精确版本号（包括嵌套依赖）。
它的作用是：
- 保存 确切版本号，比如 monolog/monolog 版本为 2.9.1，而不是 ^2.0
- 记录每个包的 完整依赖树，确保不同环境安装完全一致的依赖组合
- 提升安装效率，Composer 可直接读取 lock 文件进行快速安装
当你执行 composer install 时，Composer 会优先读取 composer.lock 中的版本信息进行安装；而 composer update 则会忽略 lock 文件，根据 composer.json 的规则重新计算依赖并生成新的 lock 文件。
这个文件也应该提交到版本控制中，特别是在团队协作或部署生产环境时，能避免因依赖版本不一致导致的问题。
基本上就这些。简单说：composer.json 是“要什么”，composer.lock 是“实际装了什么”。两者配合才能保证项目在不同机器上表现一致。
