Waarom breekt een patch-versie-afhankelijkheidsbump nog steeds mijn productieapplicatie?

Semantisch versiebeheer is een conventie, geen contract. Systematische analyse van software-ecosystemen bevestigt dat patch- en minor-releases routinematig gedragsmatige breukwijzigingen introduceren die geen enkel statisch analysetool detecteert, en 68 procent van de waargenomen npm-breuken valt in deze gedragsmatige categorie die het moeilijkst automatisch te detecteren is. De schade ontstaat voornamelijk via transitieve afhankelijkheden, waarvan slechts 21 procent testdekking heeft in de praktijk. Afhankelijkheidsscanners markeren beveiligings-CVE's maar hebben geen mechanisme voor het detecteren van semantische incompatibiliteiten twee niveaus diep. Een ontwikkelaar die vandaag één directe afhankelijkheid bijwerkt heeft geen tool die hem vertelt welk productiegedrag zal veranderen.