Какво точно заключва файлът package-lock.json: само зависимостите от package.json или също транзитивните зависимости?