Czy muszę tworzyć nowy pakiet przystawek za każdym razem, gdy zależność otrzyma aktualizację zabezpieczeń?

Jeśli utworzę pakiet Snap z powiedzmy 5 zależności. Czy muszę tworzyć nową wersję pakietu za każdym razem, gdy zależność otrzyma aktualizację (zabezpieczeń)?

Mam na myśli zaletę pakietów .deb , że na przykład w Ubuntu / Debian mogę korzystać z biblioteki, a gdy ta biblioteka otrzyma aktualizację, oznacza to również aktualizację części mojego oprogramowania. A ponieważ przesyłają tylko aktualizacje zabezpieczeń, mogę być (99%) pewien, że aktualizacja biblioteki nie zepsuje interfejsu API, aby moje oprogramowanie mogło się zepsuć.

Krótka odpowiedź brzmi: tak, musisz zaktualizować przystawkę, jeśli musisz zaktualizować zależność. Jednak tutaj też jest dłuższa odpowiedź.

Załóżmy, że masz aplikację korzystającą z protokołu SSL (może to być oprogramowanie wbudowane lub pełnowymiarowa witryna internetowa korzystająca z Apache). Prowadzisz badania i korzystasz z określonych algorytmów wymiany kluczy i algorytmów symetrycznych. Powiedzmy teraz, że w SSL odkryto lukę w zabezpieczeniach i wydano nową wersję. To, że jest to wydanie bezpieczeństwa, nie oznacza, że ​​załatana luka dotyczyła jednego z używanych algorytmów. Co jeśli nie było? Co jeśli, poprzez załatanie tej luki w algorytmie, którego nie używałeś, coś zrobiłeśużycie zostało zepsute lub skompromitowane (stało się mi ostatnio z PHP)? Jeśli do niego dołączasz, możesz zadzwonić na temat tego, czy musisz dokonać aktualizacji w zależności od zastosowania. Możesz go także dokładnie przetestować przed udostępnieniem go wszystkim użytkownikom. Istnieje również możliwość, że dystrybucja, na którą celujesz, ma inną wersję protokołu SSL, która nie działa z twoim oprogramowaniem, a powiązanie go w mgnieniu oka zapewnia powszechne wrażenia na różnych platformach.

Zdecydowanie istnieje kompromis między korzyściami związanymi z udostępnianiem zależności a korzyściami związanymi z nimi.