Package-lock.json tam olarak neyi kilitler: sadece package.json'dan bağımlılıkları mı yoksa transitif bağımlılıkları da mı?