در npm همان package-lock.json است. با commit کردنش همه‌ی ماشین‌ها و CI یک درخت وابستگی یکسان نصب می‌کنند و npm ci اگر با package.json هم‌خوان نباشد اجرا نمی‌شود.