8 minutos de leitura
Autor(a)
Fique por dentro de conteúdos, insights e oportunidades do universo tech. Receba novidades e lançamentos direto no seu e-mail.
Visualizando informações com um gráfico
Ler mais
Desenvolvimento de jogos em Lua
Ler maisDomain Specific Languages em ação
Ler mais
Provavelmente, toda pessoa desenvolvedora, quando confrontada com um problema complicado, já pensou empolgadamente: “Aposto que existe uma biblioteca que eu posso utilizar para resolver isso!”. O pensamento não está errado, pois traz consigo a promessa de economia de tempo, complexidade abstraída e eficiência adquirida. Entretanto, esse pensamento, se utilizado de maneira excessiva, pode acarretar em vários problemas, como o inferno de dependências.
Enfrentou ou está enfrentando o inferno de dependências e está buscando uma forma automática de atualizar as dependências do seu projeto?
Neste artigo, vamos falar sobre o inferno de dependências e como enfrentá-lo utilizando o Dependabot. Descobriremos como utilizá-lo em repositórios do GitHub e o quanto ele facilita a vida das pessoas desenvolvedoras.
O inferno de dependências é um termo utilizado para definir os problemas enfrentados pelas pessoas desenvolvedoras, quando o software - ou um pacote de software - depende de terceiro e não consegue acessar essa dependência adicional para funcionar corretamente. Resumindo: quando o software funciona de forma anormal, exibindo erros e bugs devido a um software/aplicativo integrado no sistema que foi desenvolvido por terceiros, temos o inferno de dependências!
O problema pode assumir muitas formas e ocorrer por várias causas, como, por exemplo, a necessidade de instalar bibliotecas de software complementares, a necessidade de longas cadeias de instalações, problemas com um programa conflitante, a criação de dependências circulares, dependências desatualizadas que são mantidas no projeto e muito mais.
Como dito acima, a causa do inferno de dependências é variada, mas geralmente ocorre por uma das cinco razões:
Dependências podem ser uma grande dor de cabeça para pessoas desenvolvedoras e para usuários. Entretanto, existem ferramentas e técnicas que aliviam e auxiliam na prevenção desses problemas. Vamos conhecê-las?
A boa notícia é que, apesar das dependências serem inevitáveis na maioria das situações e projetos, existem maneiras de diminuir o risco de um potencial inferno de dependências. Algumas ações que podem ser realizadas, são:
Um dos primeiros e mais importantes passos é decidir quais bibliotecas precisam ser atualizadas primeiro. Uma maneira de realizar essa decisão é classificar as dependências de acordo com a importância delas para o funcionamento ideal do seu software. Os mais críticos são os mais importantes para você atualizar e dar atenção.
No lugar de acumular dependências adicionais, tente remover as não utilizadas como seu ponto de partida. Existe também a possibilidade de utilizar ferramentas de análise de código estático para descobrir onde suas dependências menos importantes se originam e você pode comprimi-las ou se livrar delas completamente.
Outra abordagem valiosa é importar de pacotes apenas o que você precisa. Isso implica diretamente na leveza do código e reduz consideravelmente a chance de colisões ou conflitos.
As atualizações de dependências são uma parte importantíssima para manter os softwares atualizados com aprimoramentos que podem melhorar o desempenho, a segurança e até mesmo adicionar novas funcionalidades. Ao não se manter atualizado com atualizações e refinamentos importantes, você pode cair facilmente no inferno de dependências, que poderia ter sido mitigado sem muito esforço.
A automação é uma maneira de garantir que você se beneficie de atualizações cruciais assim que elas estiverem disponíveis. Uma ferramenta muito conhecida por realizar essa automação de atualização de dependências de projetos é o Dependabot, que iremos abordá-lo mais adiante neste artigo.
Em um time, para garantir que todas as pessoas desenvolvedoras sigam todos os itens acima, bem como quaisquer outras medidas importantes, certifique-se de estabelecer diretrizes claras de gerenciamento de dependência. Além disso, ter uma política em vigor é crucial para monitorar a segurança, melhorar o desempenho dos softwares e fornecer garantia de qualidade.
Manter as dependências atualizadas é uma das maneiras mais fáceis de manter o software que você cria seguro. No entanto, atualizar dependências de forma manual não é uma tarefa fácil, considerada pela maioria das pessoas desenvolvedoras uma tarefa árdua. O Dependabot nos ajuda justamente nisso, atualizando dependências automaticamente, para que você possa gastar menos tempo atualizando dependências e mais tempo construindo software.
Tendo sido adquirido pelo GitHub, o Dependabot está disponível de forma nativa e gratuita, e certamente é uma ferramenta que vale muito a pena utilizar se você estiver procurando por uma abordagem mais fácil para manter as dependências atualizadas nos seus projetos.
O Dependabot possui suporte para automatizar a atualização de dependências em Ruby, JavaScript, Python, PHP, Elixir, Elm, Go, Rust, Java e .Net. Ele também pode atualizar submódulos git, arquivos Docker e arquivos Terraform.
Ele verifica se há requisitos desatualizados ou inseguros em seus arquivos de dependência. Se encontrar alguma dependência desatualizada ou insegura, ele alerta automaticamente o proprietário do repositório/projeto por meio de uma notificação do GitHub, bem como um e-mail. Ele cria um pull request individual para cada atualização, você pode verificar e aprovar manualmente a alteração e mesclar a solicitação pull, importante ressaltar que também é possível rejeitar a solicitação.
Para adicionar o Dependabot em seu repositório e aproveitar todos os benefícios desta ferramenta, você terá que seguir os seguintes passos:
Ter o Git instalado em sua máquina e ter um repositório no GitHub. Caso precise de ajuda com isso, mais abaixo terão links que te auxiliarão;
Na raiz do seu projeto crie uma pasta chamada “.github”;
Configuração inserida no arquivo:
version: 2
updates:
- package-ecosystem: npm
directory: "/"
schedule:
interval: daily
Na documentação oficial você encontrará como utilizar outros gerenciadores de pacotes e outros tipos de intervalos de busca de atualizações.
Agora, sempre que alguma dependência ficar desatualizada, o Dependabot irá fazer as alterações necessárias e irá criar um pull request, que você poderá aprovar ou rejeitar manualmente.
Nesse artigo, conhecemos o conceito de inferno de dependências, os problemas que o causam e dicas de como evitá-lo. Vimos também o que é o Dependabot e como utilizá-lo em repositórios do GitHub para aproveitar todos os seus benefícios e atualizar nossas dependências automaticamente para evitar possíveis problemas.
Todos sabemos que o uso de dependências sempre fará parte do desenvolvimento de software. Então se você deseja manter todas as suas dependências atualizadas e evitar o uso de dependências vulneráveis, não pense duas vezes e opte pelo Dependabot, que é muito seguro e nativo do GitHub.
E aí, o que você achou? Não deixe de conferir nossos cursos e continue mergulhando em tecnologia!
Avalie este artigo