composer.json和composer.lock到底是什么？