オープンソースの依存関係

オープンソースのフレームワークやライブラリは、アプリ開発作業におけるレゴのようなもので、パッケージマネージャを使って、時間を節約したり、車輪の再発明を避けたり、暗号のような重要な要素のためにコミュニティが検証したコードを利用したりすることができる。エコシステムには未開拓の多くの可能性と速度があるが、夜中にレゴブロックを踏むように、これらの依存関係を誤って管理すると、予期せぬ、驚くほど鋭い痛みを伴うことがある。

ウェブ・アプリケーションの場合、オープンソースの依存関係には主に3つの種類がある：

依存関係のインストールやアップデートの方法はすでに知っていると思いますが、脆弱性や潜在的なライセンスリスクをスキャンする方法についてはどうでしょうか？残念ながら、依存関係をスキャンするためのツールのエコシステムは非常に複雑に感じられ、多くの人が受動的にGitHubのDependabotやGitLabのDependency Scanningのようなツールに頼るようになる。

新しいアプリを開発する際には、まず何らかのロックファイル（例． パッケージロック.json)を使用することで、開発/ステージング/本番環境や、非同期で作業する複数の開発者であっても、一貫したインストールを保証することができる。

同じ機能を自分自身で合理的に実装できるかどうか、コスト・ベネフィットを分析してください。もしそうでなければ、各パッケージのコミュニティの強さ、積極的にメンテナンスされているかどうか（特にセキュリティの脆弱性について）、過去に攻撃のベクトルとなっていないかどうか、などを評価します。

すべての依存関係管理作業を手作業で行うべきではありません。オープンソースの依存関係管理もCI/CDパイプラインにループさせることで、新しく採用されたパッケージの脆弱性をいち早くキャッチできるようになる。ビルドの成果物も安全に保管されるようにしてください。依存関係とライセンスのインベントリを長期にわたって保管することで、コンプライアンス作業が劇的にスムーズになります。

最後に、updateコマンドを使って依存関係を定期的に更新しておくこと。