composer install是从composer.lock读取第三方组件及其版本，并将其安装到vendor目录下。 如果composer.lock文件不存在，则读取composer.json第三方组件及其版本，然后安装到vendor目录下。
update是直接从composer.json获取第三方组件及其版本，然后更新composer.lock文件。 如果依赖的第三方组件有版本更新，update会将最新的版本安装到vendor目录下，并更新composer.lock。
在生产环境下，直接使用composer update命令是有较大风险的，因为可能存在测试阶段使用了版本的第三方组件库，在上线打包的时候执行了composer update命令，导致第三方组件更新未经测试直接发布的问题出现。 比较推荐的做法是在版本管理过程中，将composer.json和composer.lock都加入到版本管理中，在开发过程中注意composer.lock中依赖版本的变化，每次上线打包使用composer install，从composer.lock中获取依赖的第三方组件和版本。 如果需要更新第三方组件，执行composer update命令时，应该在后面追加有必要更新的组件库。
参考文档：https://docs.phpcomposer.com/03-cli.html#install
