オープンソースの依存関係

オープンソースのフレームワークとライブラリは、アプリ開発におけるレゴブロックのようなものです。パッケージマネージャーで組み合わせることで時間を節約し、車輪の再発明を避け、暗号化のような重要な要素にコミュニティで検証されたコードを活用できる既成のピースです。このエコシステムは計り知れない可能性と速度を引き出していますが、夜中にレゴブロックを踏むように、これらの依存関係の管理を誤ると、予期せぬ、驚くほど鋭い痛みを伴う可能性があります。

ウェブアプリケーションの場合、オープンソースの依存関係には主に3つの種類があります。

依存関係のインストールと更新方法はご存知かと思いますが、それらを脆弱性や潜在的なライセンスリスクについてスキャンすることについてはどうでしょうか？残念ながら、依存関係をスキャンするためのツールエコシステムは非常に複雑に感じられ、多くの人がGitHubのDependabotやGitLabのDependency Scanningのようなツールに受動的に依存する傾向があります。

新しいアプリケーションを開発する際は、何らかのロックファイル（例： package-lock.json）から始めて、開発/ステージング/本番環境全体で、さらには非同期で作業する複数の開発者の間でも、一貫したインストールを確保します。

新しい依存関係を追加する際には、あなたと同僚は懐疑的な姿勢で臨むべきです。同じ機能を自分で合理的に実装できるかどうか、費用対効果分析を行ってください。もしできない場合は、各潜在的なパッケージについて、そのコミュニティの強さ、活発にメンテナンスされているか（特にセキュリティ脆弱性について）、そして過去に攻撃のベクトルとなったことがあるかを評価してください。

すべての依存関係管理作業が手動であるべきではありません。オープンソースの依存関係管理もCI/CDパイプラインに組み込むことで、新しく採用されたパッケージからの脆弱性をできるだけ早く即座に検出できます。ビルド成果物も安全に保管されていることを確認してください。時間の経過とともに依存関係とライセンスのインベントリを保持することは、コンプライアンス作業を劇的に円滑にします。

最後に、更新コマンドを使用して依存関係を定期的に更新してください。