Что указано в файле package-lock.json чего нет в package.json

Файл package-lock.json автоматически генерируется npm и содержит точные версии всех зависимостей (включая транзитивные), которые были установлены, а также их дерево зависимостей. В отличие от package.json, где версии могут быть указаны с диапазонами (например, ^1.2.3), package-lock.json фиксирует конкретные версии (например, 1.2.3), обеспечивая воспроизводимость сборок.

Пример различий:

// package.json
"dependencies": {
  "lodash": "^4.17.21"
}

// package-lock.json
"lodash": {
  "version": "4.17.21",
  "resolved": "https://registry.npmjs.org/lodash/-/lodash-4.17.21.tgz",
  "integrity": "sha512-..."
}

Также package-lock.json хранит:

• URL-адреса пакетов (resolved)
• Хеши целостности (integrity)
• Флаги типа dev, optional для зависимостей