Programvareavhengigheter

Programvareavhengigheter refererer til eksterne komponenter som et program trenger for å kunne bygges, kjøres eller tilbys riktig funksjonalitet. Dette kan være bibliotikker, rammeverk, drivere eller kjøremiljøer som ikke er en del av kildekoden, men som koden forventer å få tilgang til. Avhengigheter kan være direkte (denne applikasjonen bruker dem direkte) eller transitive (avhengigheter av de avhengighetene som brukes).

En avhengighetsgraf viser forholdet mellom komponentene og deres versjoner. Mange prosjekter følger semantisk versjonering (semver) for å angi kompatibilitet mellom versjoner. Ulike deler av prosjektet kan kreve ulike versjoner av samme komponent, noe som kan føre til konflikter og i verste fall byggekrasj, ofte omtalt som avhengighetshelvete.

Håndtering av avhengigheter skjer gjennom pakkebehandlere og byggsystemer som npm, Maven, pip, Bundler, Cargo og Composer. Disse verktøyene henter, oppdaterer og organiserer avhengigheter, og mange støtter låsing av versjoner i lockfiles for å sikre reproducerbare bygg og kjøring. Regelmessig oppdatering og testing av avhengigheter er sentralt for stabilitet og sikkerhet.

Sikkerhet og lisensiering er viktige risikoaspekter ved programvareavhengigheter. Avhengigheter kan introdusere sårbarheter eller lisensbegrensninger. Anbefalte praksiser inkluderer sårbarhetsskanning, oppretting av en software bill of materials (SBOM), og rutiner for grundig evaluering og validering av nye avhengigheter før de tas i bruk.

For prosjekter er det vanlig å ha klare retningslinjer for valg og oppdatering av avhengigheter, bruk av lockfiles, kontinuerlig testing og integrasjon, samt dokumentasjon av hvem som har ansvar for avhengighetsstyring.