8 minutos de leitura
Autor(a)
Fique por dentro de conteúdos, insights e oportunidades do universo tech. Receba novidades e lançamentos direto no seu e-mail.
Provavelmente, toda pessoa desenvolvedora, quando confrontada com um problema complicado, já pensou empolgadamente: “Aposto que existe uma biblioteca que eu posso utilizar para resolver isso!”. O pensamento não está errado, pois traz consigo a promessa de economia de tempo, complexidade abstraída e eficiência adquirida. Entretanto, esse pensamento, se utilizado de maneira excessiva, pode acarretar em vários problemas, como o inferno de dependências.
Enfrentou ou está enfrentando o inferno de dependências e está buscando uma forma automática de atualizar as dependências do seu projeto?
Neste artigo, vamos falar sobre o inferno de dependências e como enfrentá-lo utilizando o Dependabot. Descobriremos como utilizá-lo em repositórios do GitHub e o quanto ele facilita a vida das pessoas desenvolvedoras.
O inferno de dependências é um termo utilizado para definir os problemas enfrentados pelas pessoas desenvolvedoras, quando o software - ou um pacote de software - depende de terceiro e não consegue acessar essa dependência adicional para funcionar corretamente. Resumindo: quando o software funciona de forma anormal, exibindo erros e bugs devido a um software/aplicativo integrado no sistema que foi desenvolvido por terceiros, temos o inferno de dependências!
O problema pode assumir muitas formas e ocorrer por várias causas, como, por exemplo, a necessidade de instalar bibliotecas de software complementares, a necessidade de longas cadeias de instalações, problemas com um programa conflitante, a criação de dependências circulares, dependências desatualizadas que são mantidas no projeto e muito mais.
Como dito acima, a causa do inferno de dependências é variada, mas geralmente ocorre por uma das cinco razões:
Dependências podem ser uma grande dor de cabeça para pessoas desenvolvedoras e para usuários. Entretanto, existem ferramentas e técnicas que aliviam e auxiliam na prevenção desses problemas. Vamos conhecê-las?
A boa notícia é que, apesar das dependências serem inevitáveis na maioria das situações e projetos, existem maneiras de diminuir o risco de um potencial inferno de dependências. Algumas ações que podem ser realizadas, são:
Um dos primeiros e mais importantes passos é decidir quais bibliotecas precisam ser atualizadas primeiro. Uma maneira de realizar essa decisão é classificar as dependências de acordo com a importância delas para o funcionamento ideal do seu software. Os mais críticos são os mais importantes para você atualizar e dar atenção.
No lugar de acumular dependências adicionais, tente remover as não utilizadas como seu ponto de partida. Existe também a possibilidade de utilizar ferramentas de análise de código estático para descobrir onde suas dependências menos importantes se originam e você pode comprimi-las ou se livrar delas completamente.
Outra abordagem valiosa é importar de pacotes apenas o que você precisa. Isso implica diretamente na leveza do código e reduz consideravelmente a chance de colisões ou conflitos.
As atualizações de dependências são uma parte importantíssima para manter os softwares atualizados com aprimoramentos que podem melhorar o desempenho, a segurança e até mesmo adicionar novas funcionalidades. Ao não se manter atualizado com atualizações e refinamentos importantes, você pode cair facilmente no inferno de dependências, que poderia ter sido mitigado sem muito esforço.
A automação é uma maneira de garantir que você se beneficie de atualizações cruciais assim que elas estiverem disponíveis. Uma ferramenta muito conhecida por realizar essa automação de atualização de dependências de projetos é o Dependabot, que iremos abordá-lo mais adiante neste artigo.
Em um time, para garantir que todas as pessoas desenvolvedoras sigam todos os itens acima, bem como quaisquer outras medidas importantes, certifique-se de estabelecer diretrizes claras de gerenciamento de dependência. Além disso, ter uma política em vigor é crucial para monitorar a segurança, melhorar o desempenho dos softwares e fornecer garantia de qualidade.
Manter as dependências atualizadas é uma das maneiras mais fáceis de manter o software que você cria seguro. No entanto, atualizar dependências de forma manual não é uma tarefa fácil, considerada pela maioria das pessoas desenvolvedoras uma tarefa árdua. O Dependabot nos ajuda justamente nisso, atualizando dependências automaticamente, para que você possa gastar menos tempo atualizando dependências e mais tempo construindo software.
Tendo sido adquirido pelo GitHub, o Dependabot está disponível de forma nativa e gratuita, e certamente é uma ferramenta que vale muito a pena utilizar se você estiver procurando por uma abordagem mais fácil para manter as dependências atualizadas nos seus projetos.
O Dependabot possui suporte para automatizar a atualização de dependências em Ruby, JavaScript, Python, PHP, Elixir, Elm, Go, Rust, Java e .Net. Ele também pode atualizar submódulos git, arquivos Docker e arquivos Terraform.
Ele verifica se há requisitos desatualizados ou inseguros em seus arquivos de dependência. Se encontrar alguma dependência desatualizada ou insegura, ele alerta automaticamente o proprietário do repositório/projeto por meio de uma notificação do GitHub, bem como um e-mail. Ele cria um pull request individual para cada atualização, você pode verificar e aprovar manualmente a alteração e mesclar a solicitação pull, importante ressaltar que também é possível rejeitar a solicitação.
Para adicionar o Dependabot em seu repositório e aproveitar todos os benefícios desta ferramenta, você terá que seguir os seguintes passos:
Ter o Git instalado em sua máquina e ter um repositório no GitHub. Caso precise de ajuda com isso, mais abaixo terão links que te auxiliarão;
Na raiz do seu projeto crie uma pasta chamada “.github”;
Configuração inserida no arquivo:
version: 2
updates:
- package-ecosystem: npm
directory: "/"
schedule:
interval: daily
Na documentação oficial você encontrará como utilizar outros gerenciadores de pacotes e outros tipos de intervalos de busca de atualizações.
Agora, sempre que alguma dependência ficar desatualizada, o Dependabot irá fazer as alterações necessárias e irá criar um pull request, que você poderá aprovar ou rejeitar manualmente.
Nesse artigo, conhecemos o conceito de inferno de dependências, os problemas que o causam e dicas de como evitá-lo. Vimos também o que é o Dependabot e como utilizá-lo em repositórios do GitHub para aproveitar todos os seus benefícios e atualizar nossas dependências automaticamente para evitar possíveis problemas.
Todos sabemos que o uso de dependências sempre fará parte do desenvolvimento de software. Então se você deseja manter todas as suas dependências atualizadas e evitar o uso de dependências vulneráveis, não pense duas vezes e opte pelo Dependabot, que é muito seguro e nativo do GitHub.
E aí, o que você achou? Não deixe de conferir nossos cursos e continue mergulhando em tecnologia!
Avalie este artigo
