ทำไมการอัปเดต dependency เพียงเวอร์ชัน patch ยังทำให้แอปพลิเคชันใน production พังได้?

Semantic versioning เป็นเพียงข้อตกลง ไม่ใช่สัญญา การวิเคราะห์ระบบนิเวศซอฟต์แวร์อย่างเป็นระบบยืนยันว่า release แบบ patch และ minor มักนำการเปลี่ยนแปลงที่ทำลาย behavior มาด้วยอย่างสม่ำเสมอโดยไม่มีเครื่องมือ static analysis ใดตรวจจับได้ และ 68 เปอร์เซ็นต์ของการพังที่พบใน npm อยู่ในหมวดหมู่ behavioral นี้ซึ่งยากที่สุดที่จะตรวจจับโดยอัตโนมัติ ความเสียหายส่วนใหญ่เกิดจาก transitive dependencies ซึ่งมีเพียง 21 เปอร์เซ็นต์ที่มีการครอบคลุมการทดสอบในสภาพแวดล้อมจริง เครื่องมือสแกน dependency ตั้งค่าสถานะ CVE ด้านความปลอดภัยแต่ไม่มีกลไกตรวจจับความไม่เข้ากันเชิง semantic ที่ลึกสองชั้น นักพัฒนาที่อัปเดต dependency ตรงหนึ่งรายการในวันนี้ไม่มีเครื่องมือใดบอกได้ว่า behavior ใน production จะเปลี่ยนแปลงอย่างไร