依存関係管理

目次

• 概要
• 使用する場面
• クイックスタート
• リファレンスガイド
• ベストプラクティス

概要

JavaScript/Node.js、Python、Ruby、Java、その他のエコシステム全体における包括的な依存関係管理。バージョン管理、競合解決、セキュリティ監査、健全な依存関係を維持するためのベストプラクティスをカバーしています。

使用する場面

• プロジェクト依存関係のインストールまたは更新
• バージョン競合の解決
• セキュリティ脆弱性の監査
• ロックファイルの管理 (package-lock.json、Gemfile.lock など)
• セマンティックバージョニングの実装
• モノレポの依存関係設定
• 依存関係ツリーの最適化
• ピア依存関係の管理

クイックスタート

最小限の動作例:

# Initialize project
npm init -y

# Install dependencies
npm install express
npm install --save-dev jest
npm install --save-exact lodash  # Exact version

# Update dependencies
npm update
npm outdated  # Check for outdated packages

# Audit security
npm audit
npm audit fix

# Clean install from lock file
npm ci  # Use in CI/CD

# View dependency tree
npm list
npm list --depth=0  # Top-level only

リファレンスガイド

references/ ディレクトリの詳細な実装:

ベストプラクティス

✅ やるべきこと

• ロックファイルをバージョン管理にコミットする
• CI/CDパイプラインで npm ci または同等のコマンドを使用する
• 定期的な依存関係監査 (週単位/月単位)
• 依存関係を最新に保つ (Dependabot で自動化)
• 重要な依存関係に正確なバージョンを使用する
• 特定のバージョンがピン留めされている理由をドキュメント化する
• 依存関係更新後にテストを実行する
• セマンティックバージョニングを正しく使用する
• 依存関係数を最小化する
• 依存関係のライセンスをレビューする

❌ やらないこと

• ロックファイルを手動で編集する
• パッケージマネージャーを混在させる (同じプロジェクトで npm + yarn)
• CI/CD で npm install を使用する (npm ci を使用)
• セキュリティ脆弱性を無視する
• バージョンにワイルドカード (*) を使用する
• ローカルインストールが可能な場合にパッケージをグローバルインストールする
• node_modules を git にコミットする
• 本番環境で latest タグを使用する
• npm audit fix を盲目的に実行する
• 不要な依存関係をインストールする