Čo presne zamyká súbor package-lock.json: len závislosti z package.json alebo aj tranzitívne závislosti?