dependency-management

依存関係の管理

ワークフロー

• 監査：既知の脆弱性を確認します
• 更新：依存関係を適度に最新の状態に保ちます
• ロック：再現可能なビルドを確保します
• 最小化：未使用の依存関係を削除します

セキュリティスキャン

# Node.js
npm audit
pnpm audit

# Python
pip-audit
safety check

# Go
govulncheck ./...

# Rust
cargo audit

バージョン管理

セマンティックバージョニング

• メジャー（1.0.0）：互換性のない変更
• マイナー（0.1.0）：後方互換性のある新機能
• パッチ（0.0.1）：後方互換性のあるバグ修正

バージョン制約

// package.json
{
  "dependencies": {
    "exact": "1.2.3",        // Exactly 1.2.3
    "patch": "~1.2.3",       // 1.2.x (patch updates)
    "minor": "^1.2.3",       // 1.x.x (minor updates)
    "range": ">=1.2.3 <2.0.0" // Range
  }
}

ロックファイル

再現可能なビルドのため、ロックファイルは必ずコミットしてください：

• package-lock.json または pnpm-lock.yaml（Node.js）
• poetry.lock または uv.lock（Python）
• go.sum（Go）
• Cargo.lock（Rust）

ベストプラクティス

1. 本番環境ではバージョンを固定する：正確なバージョンまたはロックファイルを使用します
2. 定期的に更新する：依存関係が古くなりすぎないようにします
3. 変更履歴を確認する：メジャーアップデートの前に、互換性のない変更がないか確認します
4. 更新後にテストする：依存関係を変更した後は、テストスイートをすべて実行します
5. 依存関係を最小限にする：依存関係はそれぞれリスクになります

未使用の依存関係の削除

# Node.js
npx depcheck

# Python
pip-autoremove

# Go
go mod tidy