Зачем нужен package-lock.json

В package-lock.json, в отличие от package.json, прописанны конкретные версии зависимостей и devDependencies.

Его НУЖНО коммитать, чтобы быть уверенным, что на любом компьютере или облаке, где разворачивается проект, он был развёрнут в одинаковое состояние. Обеспечивая консистентность и на локальной машине, и на любом энвайронменте и в продакшене.

Поэтому каждый разработчик должен разворачивать проект не командой npm i (npm install), a npm ci. Ведь эта команда смотрит на package-lock.json и установит строго конкретные версии зависимостей.