Co přesně zamyká soubor package-lock.json: pouze závislosti z package.json nebo i tranzitivní závislosti?