Tech

Yama sürümü bağımlılık güncellemesi neden hâlâ üretim uygulamamı bozuyor?

Fırsat

Semantik sürümleme bir kural, sözleşme değil. Yazılım ekosistemlerinin sistematik analizi, yama ve küçük sürümlerin hiçbir statik analiz aracının tespit edemediği davranışsal kırıcı değişiklikleri rutin olarak tanıttığını doğrulamaktadır; gözlemlenen npm kırılmalarının yüzde 68'i otomatik olarak yakalanması en zor olan bu davranışsal kategoriye girmektedir. Hasar çoğunlukla geçişli bağımlılıklar aracılığıyla gerçekleşmektedir; bunların yalnızca yüzde 21'i gerçek ortamda herhangi bir test kapsamına sahiptir. Bağımlılık tarayıcıları güvenlik CVE'lerini işaretler ancak iki seviye derinliğindeki semantik uyumsuzlukları tespit etme mekanizmasına sahip değildir. Bugün tek bir doğrudan bağımlılığı güncelleyen bir geliştirici, hangi üretim davranışının değişeceğini söyleyen herhangi bir araca sahip değildir.

Neden önemli

CI'ya ulaşmadan önce geçişli bağımlılıklardaki davranışsal bozulmayı tespit etmek, sürüm sabitleme ile güvenli yükseltmeler arasındaki eksik katmandır.

Fırsatı nasıl puanlıyorum

Fırsat Puanı benim kendi değerlendirmem, bir ölçüm değil: ne kadar acı verdiği, ne sıklıkla etkisi olduğu ve bugün için ne kadar az çözüm bulunduğu. Daha yüksek puan, inşa etmeye daha değer olduğunu düşündüğüm anlamına gelir.

Ciddiyet7/10

Ortaya çıktığında ne kadar sorun yarattığı.

Sıklık9/10

İnsanların bununla gerçekte ne sıklıkla karşılaştığı.

Boşluk7/10

Bugün bunun için ne kadar az iyi araç bulunduğu.