npm - 我需要 package-lock.json 和 package.json 吗？

Question

将我的 NPM 更新到最新版本(从 3.X 到 5.2.0)并在现有项目上运行 npm install 后，我获得了自动创建的包锁。 json 文件。

我可以告诉 package-lock.json 为我提供了一个精确的依赖关系树，而不是 package.json。

仅从该信息来看，package.json 似乎是多余的，不再需要了。

这两者对于 NPM 的工作都是必要的吗？
仅使用 package-lock.json 文件是否安全或可能？

package-lock.json 上的文档( doc1 、 doc2 )没有提及任何相关内容。

编辑:

经过更多思考，我得出的结论是，如果有人想将您的项目与旧版本的 NPM(5.x 之前)一起使用，它仍然会安装所有依赖项，但版本不太准确(补丁版本)

Answer 1

您需要 package-lock.json 和 package.json 吗？ 不。

您需要package.json吗？ 是。

您可以有一个仅包含 package-lock.json 的项目吗？ 不。

package.json 不仅仅用于依赖项 - 例如定义项目属性、描述、作者和许可证信息、脚本等。package-lock.json仅用于将依赖项锁定到特定版本号。