Шта тачно закључује фајл package-lock.json: само зависности из package.json или и транзитивне зависности?