composer install是从composer.lock读取第三方组件及其版本，并将其安装到vendor目录下。
如果composer.lock文件不存在，则读取composer.json第三方组件及其版本，然后安装到vendor目录下。
composer update是直接从composer.json获取第三方组件及其版本，然后更新composer.lock文件。
如果依赖的第三方组件有版本更新，update会将最新的版本安装到vendor目录下，并更新composer.lock。风险比较大