Какой командой следует устанавливать зависимости при наличии package-lock.json и нужно ли коммитить этот файл?

В CI обычно используют npm ci для воспроизводимой установки по package-lock.json; lock-файл приложения следует коммитить.

npm ci требует согласованности package.json и lock-файла и не обновляет lock для разрешения расхождений. npm install используют при намеренном изменении зависимостей, после чего проверяют diff. Не нужно удалять lock-файл как обычный способ исправления ошибки установки.