Ką tiksliai užrakina failas package-lock.json: tik dependencies iš package.json ar ir tranzityvias priklausomybes?