❓ Чем отличается composer.json от composer.lock?

composer.json описывает зависимости с диапазонами версий (^, ~) — то, что допустимо.

composer.lock фиксирует точные установленные версии и их хэши — то, что реально стоит.

composer install ставит по lock (воспроизводимость на всех машинах и в CI), composer update пересчитывает версии в рамках json и переписывает lock.