@Rovnyart Aleksandr @risenforces @vitfollower (тред: обновление зависимостей в большом проекте

очень болезненное и дорогое - что делать?)

Серебряных пуль нету и все хорошо в меру.

Некоторые ответы уже были даны, но я распишу подробнее.

Обновляться определенно стоит и вот почему: 1) на старых зависимостях могут (и будут) всплывать потенциальные баги. Сейчас количество используемых либ так огромно, что проблемы с безопасностью находятся примерно каждые несколько дней в большом приложении. 2) Если не обновляться часто, то можно потерять совместимые промежуточные версии и получится, примерно, следующая ситуация: приперло из-за п.1 -> обновить все и сразу не можем, ибо слишком много мажорных (и ломающих) изменений -> обновится частично не можем, ибо в этом случае нужно подбирать совместимые версии всего стека, а это сделать не получается потому что именно в вашем проекте вылезла какая-то ну очень не приятная бага именно с этим набором версий и никто, конечно в ней ни разбираться не чинить из ментейнеров пакетов не будет -> страаем, бьемся головой о стенку.

Это я рассписал один из вариантов, их есть еще несколько не приятных.

Мое видение как безопаснее всего работать с пакетами:

1) 🤓стараться не раздувать нод-модули, особенно кросс-зависимыми пакетами (идеально: отсутствие / минимальное количество peerDeps в прод(!) и дев зависимостях). Писать 🚲.

2) 🕰 Стараться искать либы с наличием LTS версий или предлагать это делать тем либам, у которых этого еще нет. Можно самому поддерживать какую-то LTS версию, если вам она важна, и автору профит, и в свой гитхаб (резюме) лишняя позитивная активность, и надежность проекта повышена.

3) 🗓 Обновлять зависимости не реже 1 раз в сезон (3 месяца).

4) 🧪 Обязательно писать автоматические регрессионные интеграционные тесты на ключевые (и не только) сценарии бизнес-логики.

5) 🕸 Использовать все либы через свой локальный реекспорт, контролировать и декорировать функциональность через него. Так же, например, при обновлении всего пакета сломался какой-то модуль / функция - ну, как временный workaround, выложите на гит чисто его старую / исправленную версию и установите и используйте как отдельный пакет. Хотя тут нужно быть аккуратнее с ui-либами и миксом их глобальных стилей разных версий.

6) 🤖 Используйте генераторы и кодмоды (докладов куча) - контролируйте максимум кода в автоматическом режиме, используйте и пишите свои статические анализаторы и модификаторы.

_) ну меньшая зацепленность, все дела…

Закинул в бложик https://github.com/artalar/blog/blob/master/src/pages/dependencies.md (когда-нибудь я сделаю сайт…)