dependency-management

依存関係の管理

目次

• 概要
• 使用する場面
• クイックスタート
• リファレンスガイド
• ベストプラクティス

概要

JavaScript/Node.js、Python、Ruby、Java など、さまざまなエコシステムにわたる包括的な依存関係管理です。バージョン管理、競合の解決、セキュリティ監査、健全な依存関係を維持するためのベストプラクティスを扱います。

使用する場面

• プロジェクトの依存関係をインストールまたは更新するとき
• バージョンの競合を解決するとき
• セキュリティの脆弱性を監査するとき
• ロックファイル（package-lock.json、Gemfile.lock など）を管理するとき
• セマンティックバージョニングを導入するとき
• モノレポの依存関係を設定するとき
• 依存関係ツリーを最適化するとき
• ピア依存関係を管理するとき

クイックスタート

最小限の動作例：

# Initialize project
npm init -y

# Install dependencies
npm install express
npm install --save-dev jest
npm install --save-exact lodash  # Exact version

# Update dependencies
npm update
npm outdated  # Check for outdated packages

# Audit security
npm audit
npm audit fix

# Clean install from lock file
npm ci  # Use in CI/CD

# View dependency tree
npm list
npm list --depth=0  # Top-level only

リファレンスガイド

references/ ディレクトリにある詳細な実装ガイド：

ガイド	内容
パッケージマネージャーの基本	パッケージマネージャーの基本
セマンティックバージョニング（SemVer）	セマンティックバージョニング（SemVer）
依存関係のロックファイル	依存関係のロックファイル
依存関係の競合の解決	依存関係の競合の解決
セキュリティ脆弱性の管理	セキュリティ脆弱性の管理
モノレポの依存関係管理	モノレポの依存関係管理
ピア依存関係	ピア依存関係
パフォーマンスの最適化	パフォーマンスの最適化
CI/CD のベストプラクティス	CI/CD のベストプラクティス
依存関係の更新戦略	依存関係の更新戦略

ベストプラクティス

✅ 推奨事項

• ロックファイルをバージョン管理にコミットする
• CI/CD パイプラインでは npm ci または同等のコマンドを使用する
• 依存関係を定期的に監査する（毎週または毎月）
• 依存関係を最新の状態に保つ（Dependabot で自動化）
• 重要な依存関係には固定バージョンを使用する
• 特定のバージョンを固定する理由を記録する
• 依存関係を更新した後にテストする
• セマンティックバージョニングを正しく使用する
• 依存関係の数を最小限に抑える
• 依存関係のライセンスを確認する

❌ 禁止事項

• ロックファイルを手動で編集する
• パッケージマネージャーを混在させる（同じプロジェクトで npm と yarn を併用する）
• CI/CD で npm install を使用する（npm ci を使用する）
• セキュリティの脆弱性を無視する
• バージョンにワイルドカード（*）を使用する
• ローカルインストールが可能な場合に、パッケージをグローバルにインストールする
• node_modules を git にコミットする
• 本番環境で latest タグを使用する
• npm audit fix をよく確認せずに実行する
• 不要な依存関係をインストールする