Ако версиите на директните зависимости в package.json са точно фиксирани, защо все още е необходим файлът package-lock.json?