Czy przenosić na serwer produkcyjny plik composer.lock z projektu lokalnego przed komendą composer update czy wystarczy tylko przenieść plik composer.json?

Na serwerze nie robisz nigdy composer update. Na serwerze robisz tylko composer install.
Tak, na serwerze ma byc composer.lock gdyz to z niego composer install bedzie czytac co ma instalowac

Przeniesienie composer.lock i wywołanie composer install zapewni, że wersje bibliotek będą dokładnie takie same co w projekcie lokalnym.

https://www.engineyard.com/blog/composer-it...t-the-lock-file