為什么網(wǎng)站需要定期更新依賴庫開發(fā)一個網(wǎng)站時很少有人會從零開始編寫所有功能。許多項目都會使用第三方依賴庫例如處理圖片、驗證數(shù)據(jù)、連接數(shù)據(jù)庫或?qū)崿F(xiàn)用戶認(rèn)證的程序組件。這些依賴庫能夠節(jié)省開發(fā)時間但也帶來了一個容易被忽略的問題它們同樣需要維護(hù)。什么是依賴庫依賴庫可以理解為應(yīng)用程序使用的外部代碼或軟件組件。例如一個網(wǎng)站需要處理圖片上傳就可能使用圖像處理庫需要連接數(shù)據(jù)庫就可能使用對應(yīng)的驅(qū)動程序。如果每個功能都由開發(fā)人員自己實現(xiàn)不僅開發(fā)成本很高也可能重復(fù)制造已有的問題。因此合理使用成熟的依賴庫是一種常見的開發(fā)方式。為什么需要定期更新首先是安全問題。第三方組件可能被發(fā)現(xiàn)存在漏洞。如果項目長期使用受影響的版本攻擊者就可能利用這些漏洞影響網(wǎng)站。其次是兼容性。隨著操作系統(tǒng)、運(yùn)行環(huán)境和其他組件更新舊版本依賴可能逐漸出現(xiàn)兼容問題。另外新版本還可能修復(fù)程序錯誤、改善性能或者增加有用的功能。為什么不能看到新版本就立即升級因為更新也可能帶來不兼容變化。例如新版本刪除了某個舊接口或者改變了配置方式就可能導(dǎo)致現(xiàn)有程序無法正常運(yùn)行。因此比較穩(wěn)妥的做法是先了解更新內(nèi)容再在測試環(huán)境驗證主要功能確認(rèn)兼容后再部署到正式環(huán)境。對于關(guān)鍵業(yè)務(wù)還應(yīng)該準(zhǔn)備版本回退方案。應(yīng)該怎樣管理依賴可以使用項目的依賴清單和版本鎖定文件記錄當(dāng)前使用的組件版本。同時應(yīng)定期檢查安全公告關(guān)注已經(jīng)停止維護(hù)的依賴并優(yōu)先處理風(fēng)險較高的更新。不要只更新自己編寫的業(yè)務(wù)代碼卻長期忽略項目依賴的第三方組件。網(wǎng)站安全不僅取決于服務(wù)器本身也取決于應(yīng)用程序使用的各種軟件。把依賴管理納入日常維護(hù)流程能夠降低長期積累的技術(shù)風(fēng)險讓項目更容易持續(xù)運(yùn)行。