Mit zár pontosan a package-lock.json: csak a package.json-ből származó függőségeket vagy tranzitív függőségeket is?