Dacă versiunile dependențelor directe din package.json sunt fixate exact, de ce este în continuare nevoie de fișierul package-lock.json?