composer update --lock 并非有效命令，Composer 中正确的行为是通过 composer update 重新解析依赖并更新 lock 文件，或使用 composer update nothing 仅刷新 composer.lock 而不改变 vendor 目录，确保多环境依赖一致性。
当你运行 composer update --lock 命令时，Composer 并不会发起完整的依赖更新流程，而是专注于生成或更新 composer.lock 文件，而不实际安装或更改 vendor 目录中的代码。
理解 composer.lock 文件的作用
composer.lock 是 Composer 用来记录当前项目所有依赖及其确切版本的文件。它确保在不同环境（如开发、测试、生产）中安装的依赖完全一致。只要 lock 文件存在且内容不变，执行 composer install 就能还原出完全相同的依赖树。
--lock 选项的实际行为
值得注意的是，composer update --lock 这个命令组合在 Composer 的标准命令中并不存在。你可能混淆了几个常见命令的行为。以下是相关命令的正确解释：
- composer update：根据 composer.json 中定义的版本约束，检查远程仓库是否有符合的新版本，并更新依赖到最新兼容版本，同时生成或更新 composer.lock 文件。
- composer install：如果 composer.lock 存在且与 composer.json 匹配，则直接按 lock 文件安装依赖；如果 lock 文件不存在，则先进行依赖解析，生成 lock 文件后再安装。
- composer update --lock：这个命令在大多数 Composer 版本中会报错或被忽略，因为 --lock 不是 update 的有效选项。
真正用于更新 lock 文件的场景
有时你修改了 composer.json（比如调整了依赖版本范围），但不想立即更新 vendor 目录，只想重新生成 lock 文件以反映新的依赖解析结果。这时可以使用：
- composer update --dry-run：模拟更新过程，查看会变更哪些包（不推荐用于生成 lock）。
- composer update nothing：这是一个技巧性用法，告诉 Composer 更新“没有包”，但它仍会重新解析依赖并更新 composer.lock，适合仅刷新 lock 文件而不改变实际依赖的情况。
- composer install --dry-run：不能生成 lock，但可用于验证 lock 是否与 json 一致。
基本上就这些。重点是：没有 composer update --lock 这个标准命令。如果你的目标是同步或更新 lock 文件，请使用 composer update 或 composer update nothing 来触发依赖重解析。保持 lock 文件准确，是保障项目稳定部署的关键环节。
