我需要 package-lock.json 和 package.json 吗？

将我的 NPM 更新到最新版本（从 3.X 到 5.2.0）并运行后npm install在现有项目上，我得到一个自动创建的package-lock.json file.

我可以告诉package-lock.json给我一个精确的依赖树，而不是package.json.

仅从这些信息来看，似乎package.json是多余的，不再需要了。

NPM 的工作需要这两者吗？
是否安全或可以仅使用package-lock.json file?

package-lock.json 上的文档（doc1 https://docs.npmjs.com/files/package-lock.json, doc2 https://docs.npmjs.com/files/package-locks）没有提及任何相关内容。

Edit:

经过更多思考后，我得出的结论是，如果有人想将您的项目与旧版本的 NPM（5.x 之前）一起使用，它仍然会安装所有依赖项，但版本不太准确（补丁版本）

您两者都需要吗package-lock.json and package.json? No.

您需要吗package.json? Yes.

你能有一个项目吗？package-lock.json? No.

The package.json不仅仅用于依赖项 - 例如定义项目属性、描述、作者和许可证信息、脚本等。package-lock.json仅用于将依赖项锁定到特定版本号。