composer.json和composer.lock到底是什么以及区别？