package‐lock.json

package-lock.json

package-lock.json

package-lock.json の中にはモジュールバンドラーのものもある（例：webpack：JSがっちゃんこしてくれるコンパイラみたいなもの）
package-lock.json 内の モジュールバンドラー のみが更新されても公開js public/js/app.js 対象でないため、npm run prodコマンドを実行しても公開jsは更新されません。

更新例

https://github.com/opensource-workshop/connect-cms/pull/1982

public/js/app.js

resources/js/app.js や resources/js/bootstrap.js で require してると node_modulesの中身ががっちゃんこされてpublic/js/app.jsに出力されます。
※requireしてるライブラリのみ