Ak sú verzie priamej závislosti v package.json presne stanovené, prečo je stále potrebný súbor package-lock.json?