我们都知道每当npm i 一次就会在package.json上留下一个印记，以便后期提供其他人下载依赖，npm i 立马会下载所有的依赖包。
那package-lock.json貌似没有用武之地。
以下两种情形: 1、升级了一些依赖，并在package.json更新，此时package-lock.json肯定还是原来的版本信息 --------> 这时候其他人去安装依赖是按最新的版本安装的,并更新package-lock.json
2、升级了一些依赖，并未在package.json里更新，此时package-lock.json还是和package.json一样 ---------> 这时候其他人去安装依赖就还是以前的老版本。
package.json和package-lock.json的区别
原文：https://www.cnblogs.com/wchjdnh/p/11004311.html