npm update は、package.json を更新せずに、 package-lock.json を更新する。
とう理解であってる？