Si les versions des dépendances directes dans le fichier package.json sont fixées précisément, pourquoi le fichier package-lock.json est-il toujours nécessaire?