¿Es mala práctica commitear el composer.lock? El archivo composer.lock se genera al hacer composer install. ¿Para qué subirlo al repo?