Jeśli wersje bezpośrednich zależności w package.json są dokładnie ustalone, dlaczego nadal potrzebny jest plik package-lock.json?