Ако су верзије директних зависности у package.json тачно фиксне, зашто је и даље потребан файл package-lock.json?