Wenn die Versionen der direkten Abhängigkeiten in der package.json genau festgelegt sind, warum wird dann trotzdem die package-lock.json benötigt?