В чем отличия package.json от package-lock.json?

package.json составляется программистом, который указывает желаемые версии пакетов (а там может быть и нестрогое указание) и их категорию. package-lock.json формируется автоматически, он содержит перечень версий всех реально установленных пакетов и пакетов, установленных по зависимостям. Суть в том, что если lock-файл не противоречит package.json (и установка выполнена через npm ci), то npm возьмёт оттуда все версии и раскатит их точно так же, как раскатил их на компьютере разработчика.