Co dokładnie blokuje plik package-lock.json: tylko zależności z package.json czy także zależności przechodnie?