Что именно фиксирует package-lock.json: только зависимости из package.json или также транзитивные зависимости?

package-lock.json фиксирует конкретное дерево установки, включая транзитивные зависимости, их версии и сведения для воспроизводимого получения.

package.json задаёт желаемые диапазоны и прямые зависимости, lock уточняет фактически разрешённый набор. Формат зависит от версии npm. Наличие lock не отменяет проверку целостности, совместимости окружения и контролируемое обновление зависимостей.