Tại sao việc nâng cấp phụ thuộc lên phiên bản vá lỗi vẫn có thể làm hỏng ứng dụng sản xuất của tôi?

Versioning ngữ nghĩa là một quy ước, không phải hợp đồng. Phân tích có hệ thống về các hệ sinh thái phần mềm xác nhận rằng các bản phát hành vá lỗi và phiên bản nhỏ thường xuyên đưa ra các thay đổi hành vi gây hỏng mà không có công cụ phân tích tĩnh nào phát hiện được, và 68 phần trăm các lỗi npm quan sát được thuộc loại hành vi này, loại khó phát hiện tự động nhất. Thiệt hại chủ yếu xảy ra thông qua các phụ thuộc bắc cầu, trong đó chỉ 21 phần trăm có bất kỳ độ bao phủ kiểm thử nào trong thực tế. Các công cụ quét phụ thuộc gắn cờ các CVE bảo mật nhưng không có cơ chế phát hiện các không tương thích ngữ nghĩa ở hai cấp sâu hơn. Một nhà phát triển cập nhật một phụ thuộc trực tiếp ngày hôm nay không có công cụ nào cho họ biết hành vi sản xuất nào sẽ thay đổi.