Pokud jsou verze přímých závislostí v package.json přesně stanoveny, proč je stále potřeba soubor package-lock.json?