GitHubが狙う「ライブラリのバージョン管理問題」の解決と依存関係地獄の話 - ぶるーたるごぶりん

GitHubが狙う「ライブラリのバージョン管理問題」の解決と依存関係地獄の話 ​ Githubが OSS Security Foundation に入りましたね。 大変興味深くて 関連するドキュメント なりについて会社のチームで雑談していたところ、 GitHubの「DependaBot」が何を狙い、どういう「大きな課題」を解決するのか？ という話において、点と点が結びついた感じがあるので言語化してみます。 「この大きな課題」を説明する前に Dependency Hell について国内で言及してる記事がそれほどないので その辺りをまずは書いていきます。 ここのあたりが国内の開発者の中でも認識が広まっていくと、より一歩先のステージにいくのかなと思うので、 比較的ラフな感じで書いていきます。 ​ ちなみに、このブログ記事は所属組織とかに関係なく個人で執筆しています。 なので1デベロッパーとして、

[kubecorn]

なんとなく目指すところを意識するのは大事だと思うのでたいへん面白かったです。

[atsushifx]

ソフトウェア構成管理におけるライブラリの依存性解決の方法について。記事に従うなら、GitHub上のプロジェクトは自動的にDependaBotが走るのかも。つまり、最新ライブラリを強制される

[aa_R_waiwai]

まあ、どんなツールでも銀の弾丸は無い。ツールの存在を覚えておいて、実際に使ってみて、上手く行けば儲けもの、くらいに構えておけば良い。

[gabill]

Dependabot で自動修正できないパターンもあるし、みんなが使うメジャーなライブラリは依存関係を極力減らす方向へ力を注いで欲しいなぁ…。