Se as versões das dependências diretas em package.json estiverem fixas exatamente, por que ainda é necessário o package-lock.json?