Если версии прямых зависимостей в package.json зафиксированы точно, зачем всё равно нужен package-lock.json?

Точная версия прямой зависимости не фиксирует всё дерево её зависимостей. Lockfile сохраняет разрешённые версии, расположение и контрольные данные пакетов.

У вложенных зависимостей могут оставаться диапазоны версий, а алгоритм размещения и peer-dependencies тоже влияют на результат установки. package-lock помогает воспроизводить дерево; в CI обычно используют npm ci с согласованными package.json и lockfile. Это не отменяет влияние платформы, версии npm и install-скриптов, но устраняет существенный источник случайных обновлений.

Источник: docs.npmjs.com.