Tech
为什么一个补丁版本的依赖升级仍然会导致我的生产应用崩溃？
79
机会
语义化版本控制是一种约定，而非契约。对软件生态系统的系统性分析证实，补丁版本和次要版本发布往往会引入行为层面的破坏性变更，而这类变更是任何静态分析工具都无法检测到的。在已观察到的 npm 故障中，68% 属于这种最难自动捕获的行为类型。损害主要通过传递依赖传播，而在实际环境中，仅有 21% 的传递依赖具备任何测试覆盖。依赖扫描器能标记安全漏洞（CVE），却没有任何机制来检测两层之深的语义不兼容性。开发者今天更新一个直接依赖，却没有任何工具能告诉他们哪些生产行为将因此改变。
为什么重要
在传递依赖中的行为破坏到达 CI 之前将其检测出来，是版本锁定与安全升级之间缺失的关键一层。
我如何评估机会
机会评分是我的个人判断，而非量化指标：痛苦程度、发生频率，以及当前解决方案的匮乏程度。分数越高，意味着我认为越值得去构建。
严重性7/10
出现时造成的痛苦程度。
频率9/10
人们实际遇到它的频率。
空白空间7/10
当前针对它的优质工具有多匮乏。