Зачем нужен package-lock.json

package-lock.json фиксирует точные версии всех зависимостей и их подзависимостей, которые были установлены в проекте. Это гарантирует, что все разработчики и окружения используют одинаковые версии пакетов, предотвращая проблемы из-за различий в версиях.

Пример:

• Без package-lock.json при npm install могут устанавливаться минорные/патч-версии, указанные как ^1.2.3 в package.json
• С package-lock.json всегда устанавливаются точные версии, записанные в файле

// package-lock.json
"dependencies": {
  "lodash": {
    "version": "4.17.21", // Фиксированная версия
    "resolved": "https://registry.npmjs.org/lodash/-/lodash-4.17.21.tgz"
  }
}

Файл автоматически генерируется при установке пакетов и должен коммититься в репозиторий.