JavaScriptの依存関係を最新の状態に保つにはどうすればよいですか？

時代遅れのJavaScriptライブラリ：無視できないセキュリティリスク

キーテイクアウト：

• JavaScriptの依存関係を維持することは、アプリケーションのセキュリティに最重要です。 時代遅れの図書館は、サイバー犯罪者によって悪用可能な脆弱性を生み出します NPM-Check、Greenkeeper.io、Snykなどのツールは、特に大規模なプロジェクトのために、重要なプロセスを自動化するのに役立ちます。
サブリソースの整合性（SRI）は、ブラウザの実行前に整合性を確認することにより、サードパーティのスクリプトからのリスクを軽減します。
これは、最新のJavaScriptニュースレターからの抜粋です。今日サブスクライブ！

133,000のWebサイトを分析する最近の調査では、驚くべき統計が明らかになりました。多くの場合、時代遅れのライブラリまたはサードパーティサービスを通じて、37％が不安定なJavaScriptをロードしました。 「あなたは私に依存していない」という研究は、AngularやJQueryなどの人気のあるライブラリの古いバージョンを使用することの脆弱性を強調しました。 これにより、潜在的なセキュリティリスクを直接調査するようになりました。

私の（失敗した）ハッキングの試み

私は自分のウェブサイトに違反するために時代遅れのjQueryバージョンを悪用しようとしました。文書化されたクロスサイトスクリプト（XSS）の脆弱性を見つけましたが、

を介して安全でないサードパーティコードを含めるのと同様に、エクスプロイトは予想よりも影響が少ないことが判明しました。

SRIハッシュジェネレーターを使用して、独自のリソースのハッシュを作成します。

結論：積極的な依存関係管理は重要です

更新されたJavaScriptの依存関係を維持することは、アプリケーションセキュリティの重要な側面です。 小規模プロジェクトでは管理可能ですが、プロジェクトの規模として専用のツールとプロセスが必要です。 時代遅れのライブラリのリスクは重要であり、積極的な依存関係管理が最優先事項でなければなりません。 この重要な、しかししばしば見過ごされているウェブ開発の側面についてどう思いますか？ 以下のコメントであなたの経験を共有してください。 JavaScriptの依存関係に関するよくある質問（FAQ）

（このセクションはほぼ同じままであり、より良いフローと簡潔さのためにわずかな言い回しのみが変化します。）

javaScriptの依存関係とは？

JavaScript依存関係は、プロジェクトが機能するために必要な外部コードまたはライブラリです。 それらには、フレームワーク（React、Angular）、ユーティリティ（Lodash、Moment）、およびより小さなモジュールが含まれます。 NPMやYARNなどのパッケージマネージャーはこれらを管理しています

なぜJavaScriptの依存関係を最新の状態に保つことが重要なのですか？依存関係を更新することは、セキュリティ（パッチ）、新機能、および互換性に不可欠です。

JavaScriptの依存関係が最新かどうかを確認するにはどうすればよいですか？

やYarnのnpm-check-updatesコマンドなどのツールを使用します upgrade-interactivejavaScript依存関係を更新するにはどうすればよいですか？

（または

）またはnpm update（またはnpm update <package-name></package-name>）を使用します yarn upgrade javascript依存関係のセマンティックバージョンとは何ですか？yarn upgrade <package-name></package-name>

セマンティックバージョン化（例：1.2.3）は、変更の性質を示します：メジャー（互換性のない）、マイナー（後方互換性のある機能）、およびパッチ（バグ修正）。

javascriptのpackage.jsonファイルは何ですか？

依存関係とそのバージョンを含むプロジェクトメタデータが含まれています。 npmとyarnは、このファイルをインストールに使用します。

package.jsonの依存関係と開発者の違いは何ですか？

ランタイムにはpackage.json

が必要ですが、

（例えば、テストフレームワーク）は開発のみです。

>

javascriptのロックファイルとは？dependencies devDependenciesロックファイル（例えば、

、

）正確な依存関係バージョンを指定し、環境全体で一貫性を確保します。

JavaScript依存関係の壊れた変化をどのように処理できますか？

package-lock.jsonリリースメモを読み、それに応じてコードを更新し、包括的なテストを使用してください。 yarn.lockjavaScriptのピア依存関係は何ですか？

ピア依存関係は、プロジェクトの環境によって提供されると予想されます（例：Reactを必要とするReactプラグイン）。

以上がJavaScriptの依存関係を最新の状態に保つにはどうすればよいですか？の詳細内容です。詳細については、PHP 中国語 Web サイトの他の関連記事を参照してください。