Ha a package.json-ban szereplő közvetlen függőségek verziói pontosan meg vannak határozva, miért van még szükség a package-lock.json fájlra?