Əgər package.json-dəki birbaşa asılılıqların versiyaları dəqiq müəyyən olunubsa, niyə hələ də package-lock.json lazımdır?