¿Cuál es la diferencia entre los archivos composer.json y composer.lock?

composer.json contiene las dependencias del proyecto (paquetes y sus versiones), especificadas explícitamente (por ejemplo, >=1.0 <2.0).

composer.lock es un archivo generado que fija las versiones exactas de todas las dependencias instaladas junto con sus subdependencias.

Diferencias:

• Contenido: composer.json — requisitos de dependencias, composer.lock — versiones exactas de las dependencias instaladas.
• Autores: composer.json — desarrollador, composer.lock — Composer (generado por el comando composer install o composer update).
• Propósito: composer.json — definir dependencias, composer.lock — garantizar la reproducibilidad de las construcciones en diferentes entornos.
• En sistemas de control de versiones: Normalmente ambos archivos se añaden (git add) y se confirman (git commit).

Al instalar dependencias, Composer primero verifica composer.lock. Si existe, instala las versiones exactas de él. Si no, o si se ejecuta composer update, las dependencias se seleccionan e instalan según composer.json, y luego se actualiza composer.lock.