Что именно фиксирует package-lock.json: только зависимости из package.json или также транзитивные зависимости?