Mida täpselt lukustab fail package-lock.json: ainult sõltuvused package.json-st või ka transitiivsed sõltuvused?