Eğer package.json içindeki doğrudan bağımlılıkların sürümleri tam olarak sabitlenmişse, neden yine de package-lock.json gerekiyor?