Файл package-lock.json обновляется, когда мы вызываем npm install или npm install имя_пакета.
То есть файл package-lock.json обновляется при установке Node.js пакетов.
 

Файл package-lock.json используется с момента появления npm версии 5. Он создаётся
автоматически при установке Node.js-пакетов. Что это за файл? Возможно, вы не знакомы с ним даже
если знали о package.json, который существует гораздо дольше него.

Цель файла package-lock.json заключается в отслеживании точных версий установленных пакетов, что позволяет
сделать разрабатываемый продукт стопроцентно воспроизводимым в его исходном виде даже в
случае, если те, кто занимается поддержкой пакетов, их обновили.

Файл package-lock.json решает весьма специфическую проблему, которая не решается средствами package.json.

В package.json можно указать, какие обновления некоего пакета вам подходят (патч-версии или
минорные версии) с использованием вышеописанных спецификаторов версий.

В Git не коммитят папку node_modules, так как обычно она имеет огромные размеры.
Когда вы пытаетесь воссоздать проект на другом компьютере, то использование команды npm install
приведёт к тому, что, если, при использовании спецификатора ~ в применении к версии некоего пакета,
вышел его патч-релиз, установлен будет не тот пакет, который использовался при разработке, а
именно этот патч-релиз. То же самое касается и спецификатора ^. Если же при указании версии пакета
спецификаторы не использовались, то будет установлена именно его указанная версия и проблема, о
которой идёт речь, окажется в такой ситуации неактуальной.

Итак, кто-то пытается инициализировать проект, пользуясь командой npm install. При выходе новых
версий пакетов окажется, что этот проект отличается от исходного. Даже если, следуя правилам
семантического версионирования, минорные релизы и патч-релизы не должны содержать в себе
изменений, препятствующих обратной совместимости, все мы знаем, что ошибки способны проникать
(и проникают) куда угодно.

Файл package-lock.json хранит в неизменном виде сведения о версии каждого установленного
пакета и npm будет использовать именно эти версии пакетов при выполнении команды npm install.
Эта концепция не нова, менеджеры пакетов, применяемые в других языках программирования (вроде
менеджера Composer в Python) используют похожую систему многие годы.

Файл package-lock.json нужно отправить в Git-репозиторий, что позволит другим людям скачать
его в том случае, если проект является общедоступным, или тогда, когда его разработкой занимается
команда программистов, или если вы используете Git для развёртывания проекта.

Версии зависимостей будут обновлены в package-lock.json после выполнения команды npm
update.