Как правильно использовать package-lock.json?

А вот так правильно и использовать - удалять.
Ну допустим. Есть очень хороший модуль (к примеру, nodemailer соглашается работать только с ним - и больше ни с кем), но npm его не устанавливает - просто несёт какую-то чушь и не устанавливает. Я устанавливаю его посредством yarn. Что после этого нужно сразу сделать? - Правильно, выкинуть package-lock.json, иначе, при любой следующей манипуляции с npm он этот установленный пакет выкинет. Ещё и отчитается об этом - "удалено 5 пакетов".

MaxKorz, Да мы же как-то раньше жили без package-lock - и ничего, выжили. А какую чушь несёт npm я уж просто не помню - точно помню, что чушь. А как "работает инструмент"? - да так и работает: лезет, куда его не просят.