из npm документации :
По умолчанию следующие пути и файлы игнорируются, поэтому нет необходимости явно добавлять их в .npmignore:
.*.swp
._*
.DS_Store
.git
.hg
.npmrc
.lock-wscript
.svn
.wafpickle-*
config.gypi
CVS
npm-debug.log
Кроме того, все в node_modules игнорируется, кроме связанных зависимостей. npm автоматически обрабатывает это для вас, поэтому не беспокойтесь о добавлении node_modules в .npmignore.
при выполнении npm pack, package-lock.json не включается в архив.
это ошибка или это ожидаемое и недокументированное поведение?