為什么網(wǎng)站需要定期更新依賴庫(kù)開發(fā)一個(gè)網(wǎng)站時(shí)很少有人會(huì)從零開始編寫所有功能。許多項(xiàng)目都會(huì)使用第三方依賴庫(kù)例如處理圖片、驗(yàn)證數(shù)據(jù)、連接數(shù)據(jù)庫(kù)或?qū)崿F(xiàn)用戶認(rèn)證的程序組件。這些依賴庫(kù)能夠節(jié)省開發(fā)時(shí)間但也帶來(lái)了一個(gè)容易被忽略的問題它們同樣需要維護(hù)。什么是依賴庫(kù)依賴庫(kù)可以理解為應(yīng)用程序使用的外部代碼或軟件組件。例如一個(gè)網(wǎng)站需要處理圖片上傳就可能使用圖像處理庫(kù)需要連接數(shù)據(jù)庫(kù)就可能使用對(duì)應(yīng)的驅(qū)動(dòng)程序。如果每個(gè)功能都由開發(fā)人員自己實(shí)現(xiàn)不僅開發(fā)成本很高也可能重復(fù)制造已有的問題。因此合理使用成熟的依賴庫(kù)是一種常見的開發(fā)方式。為什么需要定期更新首先是安全問題。第三方組件可能被發(fā)現(xiàn)存在漏洞。如果項(xiàng)目長(zhǎng)期使用受影響的版本攻擊者就可能利用這些漏洞影響網(wǎng)站。其次是兼容性。隨著操作系統(tǒng)、運(yùn)行環(huán)境和其他組件更新舊版本依賴可能逐漸出現(xiàn)兼容問題。另外新版本還可能修復(fù)程序錯(cuò)誤、改善性能或者增加有用的功能。為什么不能看到新版本就立即升級(jí)因?yàn)楦乱部赡軒?lái)不兼容變化。例如新版本刪除了某個(gè)舊接口或者改變了配置方式就可能導(dǎo)致現(xiàn)有程序無(wú)法正常運(yùn)行。因此比較穩(wěn)妥的做法是先了解更新內(nèi)容再在測(cè)試環(huán)境驗(yàn)證主要功能確認(rèn)兼容后再部署到正式環(huán)境。對(duì)于關(guān)鍵業(yè)務(wù)還應(yīng)該準(zhǔn)備版本回退方案。應(yīng)該怎樣管理依賴可以使用項(xiàng)目的依賴清單和版本鎖定文件記錄當(dāng)前使用的組件版本。同時(shí)應(yīng)定期檢查安全公告關(guān)注已經(jīng)停止維護(hù)的依賴并優(yōu)先處理風(fēng)險(xiǎn)較高的更新。不要只更新自己編寫的業(yè)務(wù)代碼卻長(zhǎng)期忽略項(xiàng)目依賴的第三方組件。網(wǎng)站安全不僅取決于服務(wù)器本身也取決于應(yīng)用程序使用的各種軟件。把依賴管理納入日常維護(hù)流程能夠降低長(zhǎng)期積累的技術(shù)風(fēng)險(xiǎn)讓項(xiàng)目更容易持續(xù)運(yùn)行。