composer install считывает зависимости из файла composer.lock и устанавливает их. Если composer.lock отсутствует, он создаст его после установки зависимостей на основе composer.json.
composer update игнорирует composer.lock, считывает зависимости из composer.json, определяет последние версии пакетов, соответствующие ограничениям, устанавливает их и обновляет composer.lock.
Главное отличие:
install использует composer.lock для воспроизводимости сборок.update обновляет зависимости до последних совместимых версий и перезаписывает composer.lock.При стандартном развертывании используется composer install для обеспечения одинаковых версий зависимостей на всех окружениях. composer update используется при разработке для обновления зависимостей до более свежих версий.