パッチバージョンの依存関係更新でも本番アプリが壊れるのはなぜか？

セマンティックバージョニングは慣習であり、契約ではない。ソフトウェアエコシステムの体系的な分析により、パッチリリースやマイナーリリースが、いかなる静的解析ツールも検出できない動作上の破壊的変更を日常的にもたらすことが確認されている。観測されたnpmの破壊的変更の68%は、自動検出が最も困難なこの動作カテゴリに該当する。被害のほとんどは推移的依存関係を通じて生じるが、実環境でテストカバレッジが存在するのはそのうち21%にすぎない。依存関係スキャナーはセキュリティCVEにフラグを立てるが、2階層深いセマンティックな非互換性を検出する手段を持たない。今日1つの直接依存関係を更新した開発者には、本番環境のどの動作が変わるかを教えるツールが存在しない。