package-lock.json

npm@5 引入 package-lock.json，以锁定全部 packages 的版本，从而保证一致的运行环境。

package-lock.json 应提交到仓库。

package-lock.json 和 npm-shrinkwrap.json 类似

• package-lock.json 只能在 package 的根目录，不包含在发布的 package 中
• 当两者同时存在时，忽略 package-lock.json