composer.lock -- Зачем он нужен. Когда добавлять его в .gitignore (хранить в репозитории) и почему

Предназначение файла composer.lock - записать в него непосредственно те версии, которые были установлены (их точные идентификаторы, а не просто допустимые диапазоны, которые можно как в composer.json) -скачены при установке или обновлении пакетов.

Добавление файла composer.lock в репозиторий (под контроль версий)

Если добавить его в репозиторий (что делают не всегда), то команда

composer install

будет все равно устанавливать версии не выше тех, что записаны первый раз в composer.lock

Подробности: подробности: http://phpprofi.ru/blogs/post/15 -- таким образом можно добиться идентичного состояние проектов на разных машинах (ведь у зависимостей могу выходить новые версии, и если у нас они указаны как "не менее чем", то в какой-то момент на одной из машин состояние будет более старым -- если там не будут регулярно выполнять

composer update

)