Pracujesz w firmie, kt\u00f3ra tworzy oprogramowanie? Je\u015bli tak, to z pewno\u015bci\u0105 znasz uczucie, gdy nagle co\u015b przestaje dzia\u0142a\u0107 bez wyra\u017anego powodu. Aplikacja dzia\u0142a\u0142a wczoraj, dzi\u015b pada. Logi nic nie m\u00f3wi\u0105, a Ty sp\u0119dzasz godziny na szukaniu ig\u0142y w stogu siana. Cz\u0119sto winowajc\u0105 jest co\u015b, o czym ma\u0142o kto my\u015bli na co dzie\u0144 \u2013 niestabilne zale\u017cno\u015bci. To one potrafi\u0105 po cichu wysysa\u0107 energi\u0119 z zespo\u0142u, wyd\u0142u\u017ca\u0107 czas wdro\u017ce\u0144 i generowa\u0107 koszty, kt\u00f3rych nikt nie planowa\u0142.<\/p>\n
W JurskiTech widzieli\u015bmy wiele firm, kt\u00f3re zmaga\u0142y si\u0119 z tym problemem. Niekt\u00f3re z nich nawet nie zdawa\u0142y sobie sprawy, \u017ce to zale\u017cno\u015bci s\u0105 \u017ar\u00f3d\u0142em ich problem\u00f3w. Dlatego napisa\u0142em ten artyku\u0142 \u2013 aby pokaza\u0107 Ci trzy sygna\u0142y ostrzegawcze, kt\u00f3re mog\u0105 \u015bwiadczy\u0107 o tym, \u017ce Twoja firma traci na niestabilnych zale\u017cno\u015bciach. Je\u015bli cho\u0107 jeden z nich rozpoznasz u siebie, warto dzia\u0142a\u0107.<\/p>\n
Zacznijmy od najbardziej oczywistego sygna\u0142u: ci\u0105g\u0142e aktualizacje bibliotek i framework\u00f3w, kt\u00f3re wprowadzaj\u0105 zmiany prze\u0142amuj\u0105ce (breaking changes). Je\u015bli Tw\u00f3j zesp\u00f3\u0142 regularnie musi poprawia\u0107 kod po aktualizacji zale\u017cno\u015bci, to znak, \u017ce dryfujecie w stron\u0119 \u201edependency hell\u201d. To nie jest tylko kwestia irytacji \u2013 to realny koszt.<\/p>\n
Wyobra\u017a sobie typow\u0105 sytuacj\u0119: Wasza aplikacja korzysta z kilku popularnych bibliotek open source. Jedna z nich regularnie wypuszcza nowe wersje, a Tw\u00f3j zesp\u00f3\u0142 musi nad\u0105\u017ca\u0107 z aktualizacjami, bo inaczej przegapicie wa\u017cne poprawki bezpiecze\u0144stwa. Ale ka\u017cda aktualizacja to ryzyko, \u017ce co\u015b si\u0119 zepsuje. Deweloperzy trac\u0105 czas na analiz\u0119 zmian, poprawki, testy. A je\u015bli aktualizujecie z op\u00f3\u017anieniem, to potem skok przez kilka wersji naraz bywa jeszcze bardziej bolesny.<\/p>\n
W praktyce widujemy projekty, gdzie dependency hell sta\u0142 si\u0119 codzienno\u015bci\u0105. Zesp\u00f3\u0142 sp\u0119dza 20-30% czasu na walce z zale\u017cno\u015bciami zamiast na rozwijaniu funkcji. To ogromna strata. A przecie\u017c mo\u017cna temu zaradzi\u0107, wprowadzaj\u0105c polityk\u0119 regularnych, ma\u0142ych aktualizacji, automatyczne testy regresji czy narz\u0119dzia do wizualizacji drzewa zale\u017cno\u015bci.<\/p>\n
Co zrobi\u0107?<\/strong> Przede wszystkim zacznij traktowa\u0107 zale\u017cno\u015bci jak powa\u017cny element architektury, a nie dodatek. Ustal jasne zasady aktualizacji (np. cotygodniowe \u201edependency hygiene days\u201d), korzystaj z narz\u0119dzi takich jak Dependabot czy Renovate, kt\u00f3re automatyzuj\u0105 proces. I co wa\u017cne \u2013 nie b\u00f3j si\u0119 czasem zrezygnowa\u0107 z zale\u017cno\u015bci, je\u015bli mo\u017cesz prosto rozwi\u0105za\u0107 problem samodzielnie.<\/p>\n Drugi sygna\u0142 to brak kontroli nad tym, sk\u0105d pochodz\u0105 pakiety, kt\u00f3rych u\u017cywasz. W dzisiejszych czasach korzystamy z tysi\u0119cy zale\u017cno\u015bci, cz\u0119sto ma\u0142ych, przez co \u0142atwo przegapi\u0107 te, kt\u00f3re s\u0105 porzucone, nieaktualne albo wr\u0119cz z\u0142o\u015bliwe. Je\u015bli nie masz narz\u0119dzi do monitorowania podatno\u015bci w zale\u017cno\u015bciach, to Twoja firma jest nara\u017cona na powa\u017cne ryzyko bezpiecze\u0144stwa i stabilno\u015bci.<\/p>\n Pami\u0119tasz incydenty takie jak event-stream? Popularna biblioteka dla Node.js zosta\u0142a przej\u0119ta przez nieznanego dewelopera, kt\u00f3ry doda\u0142 z\u0142o\u015bliwy kod, maj\u0105cy na celu kradzie\u017c kryptowalut. Setki projekt\u00f3w u\u017cywa\u0142o tej biblioteki, a wiele z nich zosta\u0142o skompromitowanych. A to tylko jeden przyk\u0142ad. Coraz cz\u0119\u015bciej s\u0142yszymy o atakach na \u0142a\u0144cuch dostaw oprogramowania (supply chain attacks). Je\u015bli nie wiesz, co dok\u0142adnie znajduje si\u0119 w Twoim projekcie, jeste\u015b jak kierowca jad\u0105cy bez \u015bwiate\u0142 w nocy.<\/p>\n Co zrobi\u0107?<\/strong> Wprowad\u017a narz\u0119dzia do skanowania zale\u017cno\u015bci, takie jak Snyk, npm audit, OWASP Dependency-Check. Regularnie przegl\u0105daj raporty. Ustal polityk\u0119, \u017ce \u017cadna nowa zale\u017cno\u015b\u0107 nie mo\u017ce by\u0107 dodana bez sprawdzenia jej reputacji, licencji i aktywno\u015bci w spo\u0142eczno\u015bci. To nie jest biurokracja \u2013 to ochrona Twojego biznesu.<\/p>\n Trzeci sygna\u0142 to sytuacja, w kt\u00f3rej aplikacja dzia\u0142a lokalnie, ale na produkcji wybucha. Albo dzia\u0142a na jednym \u015brodowisku, a na innym nie. Cz\u0119sto to w\u0142a\u015bnie r\u00f3\u017cnice w wersjach zale\u017cno\u015bci powoduj\u0105, \u017ce aplikacja zachowuje si\u0119 inaczej. Deweloperzy u\u017cywaj\u0105 nowszych wersji lokalnie, a na serwerze s\u0105 starsze \u2013 albo odwrotnie. Brak odtwarzalnych \u015brodowisk to przepis na chaos.<\/p>\n Widzia\u0142em projekty, w kt\u00f3rych \u201eu mnie dzia\u0142a\u201d by\u0142o najcz\u0119stszym zdaniem na daily. To zabija zaufanie i marnuje czas. Gdy zale\u017cno\u015bci nie s\u0105 przypi\u0119te do konkretnych wersji, a lockfile jest ignorowany, to pr\u0119dzej czy p\u00f3\u017aniej pojawi\u0105 si\u0119 problemy. W dodatku, je\u015bli u\u017cywacie kontener\u00f3w, ale w spos\u00f3b niekonsekwentny (np. nieprzypinanie bazowych obraz\u00f3w), to sytuacja si\u0119 pogarsza.<\/p>\n Co zrobi\u0107?<\/strong> Przede wszystkim zawsze u\u017cywaj lockfile’\u00f3w (np. package-lock.json, yarn.lock, Pipfile.lock). Przypinaj wersje obraz\u00f3w Docker do konkretnych tag\u00f3w, a najlepiej do SHA. Korzystaj z narz\u0119dzi takich jak Docker Compose do lokalnych \u015brodowisk, aby wszystkie \u015brodowiska by\u0142y jak najbardziej zbli\u017cone. A je\u015bli masz mo\u017cliwo\u015b\u0107 \u2013 zainwestuj w \u015brodowiska deweloperskie w chmurze (np. Gitpod, VS Code Remote), kt\u00f3re daj\u0105 pe\u0142n\u0105 sp\u00f3jno\u015b\u0107.<\/p>\n Mo\u017cesz teraz pomy\u015ble\u0107: \u201eAle to s\u0105 techniczne szczeg\u00f3\u0142y. Jak to si\u0119 ma do mojego biznesu?\u201d. Ot\u00f3\u017c ma, i to ogromne. Niestabilne zale\u017cno\u015bci to nie tylko problem developer\u00f3w. To op\u00f3\u017anienia w dostarczaniu funkcji, kt\u00f3re mog\u0142yby przyci\u0105gn\u0105\u0107 klient\u00f3w. To wy\u017csze koszty utrzymania, bo zesp\u00f3\u0142 musi stale \u0142ata\u0107 dziury zamiast tworzy\u0107 nowe rzeczy. To ryzyko bezpiecze\u0144stwa, kt\u00f3re mo\u017ce sko\u0144czy\u0107 si\u0119 wyciekiem danych lub utrat\u0105 zaufania. A w skrajnych przypadkach \u2013 to awarie produkcyjne, kt\u00f3re odstraszaj\u0105 u\u017cytkownik\u00f3w.<\/p>\n Przyk\u0142ad z \u017cycia: klient z bran\u017cy e-commerce przyszed\u0142 do nas z problemem \u2013 co kilka tygodni ich sklep niespodziewanie wywala\u0142 si\u0119 podczas szczytu sprzeda\u017cy. Okaza\u0142o si\u0119, \u017ce u\u017cywali bardzo starej wersji biblioteki do obs\u0142ugi p\u0142atno\u015bci, kt\u00f3ra nie by\u0142a kompatybilna z nowym API. Zesp\u00f3\u0142 traci\u0142 tygodnie na pr\u00f3by naprawy, ale dop\u00f3ki nie zaktualizowali zale\u017cno\u015bci, problem wraca\u0142. Po naszej pomocy \u2013 aktualizacja, testy, wdro\u017cenie \u2013 sklep przesta\u0142 nawala\u0107, a przychody wzros\u0142y o 15% w nast\u0119pnym kwartale. To nie magia, to po prostu stabilno\u015b\u0107.<\/p>\n Niestabilne zale\u017cno\u015bci to cichy zab\u00f3jca nowoczesnego oprogramowania. Je\u015bli widzisz u siebie cho\u0107 jeden z opisanych sygna\u0142\u00f3w, nie ignoruj go. Zacznij od prostych krok\u00f3w: audyt zale\u017cno\u015bci, regularne aktualizacje, lockfile’y, skanery podatno\u015bci. To nie jest rocket science, ale wymaga konsekwencji.<\/p>\n W JurskiTech pomagamy firmom w porz\u0105dkowaniu technicznego ba\u0142aganu, kt\u00f3ry hamuje ich rozw\u00f3j. Je\u015bli potrzebujesz wsparcia w audycie zale\u017cno\u015bci, stabilizacji \u015brodowisk czy w og\u00f3le \u2013 w poprawie wydajno\u015bci i bezpiecze\u0144stwa aplikacji \u2013 jeste\u015bmy do dyspozycji. Pami\u0119taj, \u017ce zdrowe zale\u017cno\u015bci to fundament skalowalnego i bezpiecznego biznesu.<\/p>\n Na koniec zostawi\u0119 Ci\u0119 z pytaniem: kiedy ostatnio Tw\u00f3j zesp\u00f3\u0142 zaktualizowa\u0142 wszystkie zale\u017cno\u015bci w projekcie? Je\u015bli nie pami\u0119tasz, to mo\u017ce by\u0107 ten sygna\u0142.<\/p>\n","protected":false},"excerpt":{"rendered":" Dlaczego Twoja firma traci na niestabilnych zale\u017cno\u015bciach? 3 sygna\u0142y ostrzegawcze Pracujesz w firmie, kt\u00f3ra tworzy oprogramowanie? Je\u015bli tak, to z pewno\u015bci\u0105 znasz uczucie, gdy nagle co\u015b przestaje dzia\u0142a\u0107 bez wyra\u017anego powodu. Aplikacja dzia\u0142a\u0142a wczoraj, dzi\u015b pada. Logi nic nie m\u00f3wi\u0105, a Ty sp\u0119dzasz godziny na szukaniu ig\u0142y w stogu siana. Cz\u0119sto winowajc\u0105 jest co\u015b, o<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[7],"tags":[482,1102,1103,738],"class_list":["post-2917","post","type-post","status-publish","format-standard","hentry","category-warto-wiedziec","tag-bledy-w-devops","tag-dependency-hell","tag-stabilnosc-it","tag-zaleznosci"],"_links":{"self":[{"href":"https:\/\/news.jurskitech.pl\/blog\/wp-json\/wp\/v2\/posts\/2917","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/news.jurskitech.pl\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/news.jurskitech.pl\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/news.jurskitech.pl\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/news.jurskitech.pl\/blog\/wp-json\/wp\/v2\/comments?post=2917"}],"version-history":[{"count":0,"href":"https:\/\/news.jurskitech.pl\/blog\/wp-json\/wp\/v2\/posts\/2917\/revisions"}],"wp:attachment":[{"href":"https:\/\/news.jurskitech.pl\/blog\/wp-json\/wp\/v2\/media?parent=2917"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/news.jurskitech.pl\/blog\/wp-json\/wp\/v2\/categories?post=2917"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/news.jurskitech.pl\/blog\/wp-json\/wp\/v2\/tags?post=2917"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}2. Niejasne pochodzenie pakiet\u00f3w i brak audytu zale\u017cno\u015bci<\/h2>\n
3. Ciche problemy z kompatybilno\u015bci\u0105 \u2013 gdy \u201eu mnie dzia\u0142a\u201d nie wystarcza<\/h2>\n
Jak niestabilne zale\u017cno\u015bci przek\u0142adaj\u0105 si\u0119 na biznes?<\/h2>\n
Podsumowanie<\/h2>\n