Как стать автором
Поиск
Написать публикацию
Обновить

Комментарии 29

А вы попробуйте не фиксировать версии зависимостей и жить сразу станет легче :-)
Всего голосов 11: ↑1 и ↓10-9

Или веселее не в самом хорошем смысле :-)

Всего голосов 5: ↑5 и ↓0+5
Можно каждое утро делать пробежку, а можно раз в месяц задыхаться от подъёма на пару этажей по лестнице. Вы сами решаете держать ли себя в форме и держать руку на пульсе, либо лежать и тухнуть, пока вас жёстко не сбросят с дивана.
Всего голосов 11: ↑2 и ↓9-7

Если это была аналогия, то намного полезнее будет делать регулярную пробежку, то-есть самому исправлять зависимости, а не упасть в рандомном месте...

Всего голосов 3: ↑3 и ↓0+3
НЛО прилетело и опубликовало эту надпись здесь
с package-lock есть ньюанс, что если в нем будут конфилкты при мердже будет очень больно
Всего голосов 4: ↑3 и ↓1+2

А npm-merge-driver пробовали?

Комментарий пока не оценивали0
Зачем мне удача, если дев в любой момент может взять тот же артефакт сборки (например, докер-контейнер) и развернув у себя в точности воспроизвести продакшен окружение, а не надеяться на то, что он переключился на правильную ревизию, что результат сборки зависит исключительно от package-lock (что далеко не всегда так, например, при выгрузке свежих данных со внешнего сервиса при сборке), что никто не забыл закоммитить актуальный package-lock, что никто нигде не подменил и не удалил содержимое пакета (что особенно актуально для приватных репозиториев), что версия ноды и нпм/ярна совпадают с продом, и тд и тп?
Всего голосов 4: ↑1 и ↓3-2
НЛО прилетело и опубликовало эту надпись здесь
Слово «например» вы проигнорировали сознательно или бессознательно? Артефакты сборки могут быть разные, но их не может не быть, иначе вам нечего выкладывать на сервер.
Всего голосов 4: ↑1 и ↓3-2
НЛО прилетело и опубликовало эту надпись здесь
Они минифицированы (если мы говорим про js)

Сорсмапы или отсутствие минификации.


или в бинарном виде (если про компилируемый код)

Отладочные символы.


они настроены на прод сервисы

Не надо зашивать конфиги в бинарники.


они могут содержать закрытую информацию

В отдельный артефакт.

Всего голосов 3: ↑0 и ↓3-3
НЛО прилетело и опубликовало эту надпись здесь
Сомнительное счастье жить с протухшими зависимостями.
Всего голосов 3: ↑0 и ↓3-3
На самом деле package-lock и не фиксированные версии это компромис, когда не все разваливается при малейшей проблеме, но и при необходимости все просто обновляется. У нас такой подход используется
Всего голосов 1: ↑1 и ↓0+1

А зачем козе баян? Всмысле зачем брать тот же артефакт сборки для отладки, если можно зафиксировать версии, что будет гарантировать, что артефакты будут собираться с нужными версиями.


Без лока версий всех зависимостей никто не может гарантировать, что в артефакте использованы нужные версии.

Комментарий пока не оценивали0
зафиксировать версии, что будет гарантировать

Не будет. Примеры я привёл в комментарии, на который вы отвечали.


не может гарантировать, что в артефакте использованы нужные версии.

А это и не надо гарантировать. Гарантировать нужно лишь два инварианта:


  1. На прод попало именно то, что протестировано.
  2. Легко развернуть окружение идентичное проду.

Артефакты это гарантируют. Исходные коды, хоть трижды обложитесь локами, — нет.

Всего голосов 4: ↑0 и ↓4-4
Примеры я привёл в комментарии, на который вы отвечали.
Вам про козу, а вы про Ерёму. В моём комментарии про версии, до сборки артефактов, и я нигде не говорил про что-либо стороннее, запихиваемое в артефакты сборки.

А это и не надо гарантировать.
Товарищ, я нигде не говорил и про то, что артефакты не нужны (более того, артефакт в том или ином виде у всех есть). Каждый сам кузнец своего счастья, и раз вам хочется получать менее стабильную сборку артефактов — дело ваше.
Комментарий пока не оценивали0
если версии не фиксировать, то например при каждом ребилде jenkins'ом вы не можете гарантировать, что все работает, ибо существует вероятность, что какой-нибудь джун запаблишил не рабочий код и сломал компонент, а npm подтянет последнюю версию полагая, что она стабильней
Всего голосов 5: ↑5 и ↓0+5
CI для того и существует, чтобы сразу понимать, что что-то сломалось. Если это ваш джун, то почему у него есть право коммитить в мастер без тестирования и код ревью? Если это разработчик внешней зависимости, то это хороший повод задуматься о том, стоит ли зависеть от кода, разрабатываемого джунами.
Всего голосов 6: ↑1 и ↓5-4
ну не обязательно джун, а кто-нибудь из комманды вполне разумный, внесет изменения, которые пройдут ревью у тим лида, а в вашем проекте что-то порушится из-за них. В команде в которой множество разработчиков знания распределены, не все знают нюансы каждого пакета.
Комментарий пока не оценивали0
Отлично, он получит быструю обратную связь и тут же поправит.
Всего голосов 2: ↑1 и ↓10
Напомниаю, что чтобы потестить не ставя этот пакет локально/глобально можно сделать так:

npx ostap ./package.json -d
Всего голосов 4: ↑4 и ↓0+4
У меня сейчас нет возможности проверить, скажите, пожалуйста, ostap добавлен в общий репозиторий npm? То есть, смогу ли я установить его обычным npm install -g?
Комментарий пока не оценивали0

да, можно установить


npm install -g ostap

если что в репозитории есть quick start

Всего голосов 2: ↑2 и ↓0+2
Спасибо! Классный инструмент!
Комментарий пока не оценивали0

Заметим, что единственная проблема была связана с тем что 54 пакет был использован более одного раза.
В начале надо было решить эту проблему, а потом уже менять версию пакета (просто потому, что это не всегда возможно)

Комментарий пока не оценивали0
НЛО прилетело и опубликовало эту надпись здесь
чтобы «npm ls» сработал нужна предустановка всех пакетов «npm i», а так как пересборка папки node_modules долгий процесс, то становиться невозможно перебирать различные варианты нескольких зависимостей, то есть ostap заточен на именно комбинаторную подзадачу
Комментарий пока не оценивали0
Зарегистрируйтесь на Хабре, чтобы оставить комментарий

Публикации

Показать лучшие за всё время
Изменить настройки темы

Истории

Ваш аккаунт

Разделы

Информация

Услуги

Техническая поддержка
© 2006–2024, Habr