Se le versioni delle dipendenze dirette in package.json sono fissate esattamente, perché è ancora necessario il file package-lock.json?