Si las versiones de las dependencias directas en package.json están fijadas exactamente, ¿por qué aún se necesita el package-lock.json?