composer install和update的使用经验

composer安装 install
composer install是从composer.lock读取第三方组件及其版本，并将其安装到vendor目录下。
如果composer.lock文件不存在，则读取composer.json第三方组件及其版本，然后安装到vendor目录下。

composer更新 update
update是直接从composer.json获取第三方组件及其版本，然后更新composer.lock文件。
如果依赖的第三方组件有版本更新，update会将最新的版本安装到vendor目录下，并更新composer.lock。

composer使用经验
在生产环境下，直接使用composer update命令是有较大风险的，因为可能存在测试阶段使用了版本的第三方组件库，在上线打包的时候执行了composer update命令，导致第三方组件更新未经测试直接发布的问题出现。
比较推荐的做法是在版本管理过程中，将composer.json和composer.lock都加入到版本管理中，在开发过程中注意composer.lock中依赖版本的变化，每次上线打包使用composer install，从composer.lock中获取依赖的第三方组件和版本。
如果需要更新第三方组件，执行composer update命令时，应该在后面追加有必要更新的组件库。