パッケージマネージャーの仕組み

ライブラリやツールの「インストール・更新・削除」を自動でやってくれる仕組みだよ。JavaScriptならnpm、PythonならPip、LinuxならaptやYum、RustならCargoが有名だね。昔はライブラリのZIPを手動で落としてパスを通して…っていう苦行だったんだけど、コマンド一発で全部やってくれるようになったんだ。

「パッケージレジストリ」っていう中央リポジトリがあるんだ。npmならnpmレジストリ（registry.npmjs.org）、PythonならPyPI、RustならCrates.ioだね。開発者がパッケージを公開すると、世界中の誰でも `npm install パッケージ名` でダウンロードできるようになる。レジストリには数百万のパッケージが登録されていて、まさにソフトウェアの巨大な図書館だよ。

それが「依存解決」っていうパッケージマネージャーの最も重要な仕事だよ。各パッケージはセマンティックバージョニング（semver）で `^1.2.0` とか `~2.0.0` みたいにバージョン制約を指定するんだ。`^` は「メジャーバージョンが同じならOK」、`~` は「マイナーバージョンまで同じならOK」という意味。パッケージマネージャーはこの制約をすべて満たすバージョンの組み合わせを探し出すんだけど、AがBのv1を、CがBのv2を要求してたりすると衝突が起きる。この解決がとても難しいんだ。

「ロックファイル」っていう仕組みがあるよ。npmなら package-lock.json、YarnならYarn.lock、PythonならPipfile.lockだね。これは「実際にインストールしたバージョンの正確な一覧」を記録するファイルなんだ。ロックファイルがないと、同じ package.json でも、インストールするタイミングによって微妙に違うバージョンが入って「自分の環境では動くのにCIでは壊れる」ってことが起きる。再現性のあるビルドにはロックファイルが不可欠だよ。

npmはv3以降「フラット化（ホイスティング）」っていう戦略を採ってて、依存パッケージをできるだけ node_modules の直下に並べるんだ。でもバージョン衝突があるとネストされるから、結局フォルダが膨れ上がる。さらに厄介なのが「ファントム依存」で、直接 package.json に書いてないのにホイスティングのおかげでたまたま使えちゃうパッケージがあるんだ。pnpmはこの問題を解決するために、コンテンツアドレッサブルストレージっていう仕組みで全パッケージを一箇所に保存してシンボリックリンクで参照するようにしてるよ。

実はここが大きな課題なんだ。「タイポスクワッティング」っていう攻撃があって、有名パッケージに似た名前（例えば lodash を lodahs にするとか）で悪意のあるコードを仕込んだパッケージを公開する手口だよ。`npm audit` や GitHub の Dependabot が既知の脆弱性を自動検知してくれるけど、未知の悪意あるパッケージは検出が難しい。依存の依存の依存…と辿ると数百パッケージになることもあって、そのどれか一つでも汚染されるとサプライチェーン攻撃が成立してしまうんだ。

モノレポは複数のパッケージを1つのリポジトリで管理する手法で、npmやYarnの「ワークスペース」機能を使うんだ。例えばフロントエンドとバックエンドとUIライブラリを1つのリポジトリに入れて、共通の依存は1回だけインストールする。pnpmはさらに進んでいて、コンテンツアドレッサブルストレージのおかげでディスク使用量を劇的に減らせる。同じパッケージの同じバージョンは物理的に1つしか保存されないんだ。Google や Meta みたいな大企業がモノレポを採用してるのは、依存管理の一元化が大きな理由だよ。

2016年の「left-pad事件」は伝説的だよ。たった11行のコードのパッケージがnpmから削除されただけで、React、Babel、数千のプロジェクトが一斉にビルド不能になったんだ。外部レジストリへの依存がいかに脆いかを世界に知らしめた事件だね。もっと深刻なのは「メンテナーアカウント乗っ取り」で、2021年のua-parser-js事件では正規パッケージに暗号通貨マイナーが注入された。週間1200万ダウンロードのパッケージだったから影響は甚大だったよ。

「ロックファイルインジェクション」っていう比較的新しい攻撃手法があるんだ。攻撃者がプルリクエストでロックファイルだけをこっそり書き換えて、正規パッケージの代わりに悪意あるバージョンを指すようにする。ロックファイルは差分が膨大でレビューされにくいから、気づかれずにマージされやすい。対策としては、CIでロックファイルの整合性チェックを入れたり、`npm ci`（ロックファイルに厳密に従うインストール）を使うことが大事だね。パッケージマネージャーは便利だけど、「信頼の連鎖」で成り立ってるから、その鎖のどこが弱いかを知っておくことが開発者として大切だよ。