请说明 package-lock.json 的功能是什么？当项目中缺少该文件时，可能带来哪些后果？
考察说明
考察前端工程化中依赖锁定机制的理解及其缺失风险。
回答思路
- 【回答框架 1】package-lock.json 是 npm 生成的依赖锁定文件，它精确记录依赖树中每个包的确切版本、下载地址和完整性校验值，确保不同环境安装的依赖一致。
- 【回答框架 2】当项目没有 package-lock.json 时，npm install 会依据 package.json 中的版本范围重新解析依赖，可能安装到该范围内的更新版本，导致不同开发者或部署环境得到不同的依赖版本，出现“明明配置一样但行为不同”的问题。
- 【回答框架 3】缺少锁文件还会增加构建不可复现的风险，尤其在 CI 或生产部署中，无法保证每次构建依赖一致；同时安全审计和依赖回滚也缺少精确依据。
- 【回答框架 4】建议在项目中使用 npm 安装依赖时提交 lock 文件，并通过 npm ci 来利用它进行可复现安装。
- 【关键点 1】package-lock.json 锁定完整依赖树，保证可复现安装。
- 【关键点 2】缺失时依赖版本可能漂移，导致环境间不一致。
- 【关键点 3】应提交 lock 文件并使用 npm ci 保证一致。