依存関係 とは？

一番よくあるのはバージョンの衝突。AのライブラリはBのv1.0が必要で、CのライブラリはBのv2.0が必要、みたいな状況。これが「依存地獄」で、古いプロジェクトのメンテナンスで頭を悩ませることになる。

自分のコードが「import react」と書いてるのが直接依存。そのReactが内部でbabelを使っていて、それがさらにcore-jsを使ってる、みたいな「依存の依存」が推移的依存。意識してないのに大量のパッケージが入ってくるのはこのため。

「npm audit」や「pip-audit」コマンドでスキャンできる。GitHubのDependabotを設定しておくと、脆弱性が見つかったときに自動でPRを出してくれる。定期的なアップデートと監視が大事。

ビルドが遅くなる・アプリのサイズが膨れる・脆弱性の攻撃面が増える・メンテナンスコストが上がる、など問題が増える。「自分で10行書けばいいものをパッケージに頼る」のは避けた方がいい。依存を増やすのはコストと引き換えだと意識しよう。