Обновление зависимостей и библиотек сайта

Обновление зависимостей и библиотек сайта

Устаревшие зависимости — источник уязвимостей и технического долга. Обновление нельзя откладывать до «накопления», так как больший разрыв версий означает более сложный и рискованный апгрейд.

Стратегия обновлений

Patch-версии (1.2.3 → 1.2.4) — автоматически через Dependabot/Renovate, без ручного тестирования.

Minor-версии (1.2.x → 1.3.0) — автоматически с ручной проверкой CHANGELOG на breaking changes.

Major-версии (1.x → 2.0) — отдельная задача с полным тестированием, часто требует изменений кода.

npm/Node.js: аудит и обновление

# Аудит уязвимостей
npm audit
npm audit --audit-level=high  # только высокий/критический

# Автоматическое исправление незначительных уязвимостей
npm audit fix

# Список устаревших пакетов
npm outdated

# Обновление одного пакета
npm update react react-dom

# Обновление до следующей major-версии
npx npm-check-updates -u  # обновляет package.json
npm install               # устанавливает обновлённые версии

PHP/Composer: обновление

# Список устаревших пакетов
composer outdated

# Обновление в пределах ограничений composer.json
composer update

# Обновление конкретного пакета
composer update laravel/framework

# Проверка уязвимостей
composer audit

Python/pip: обновление

pip list --outdated
pip install --upgrade package-name
pip-audit  # проверка CVE

Dependabot: автоматизация

# .github/dependabot.yml
version: 2
updates:
  - package-ecosystem: npm
    directory: /
    schedule:
      interval: weekly
      day: monday
    groups:
      production-dependencies:
        dependency-type: production
        update-types: [minor, patch]
    open-pull-requests-limit: 5

  - package-ecosystem: composer
    directory: /
    schedule:
      interval: weekly
    open-pull-requests-limit: 3

Тестирование после обновления

# Полный цикл проверки
npm run build       # нет ли ошибок сборки
npm run lint        # нет ли новых предупреждений
npm run test        # все тесты зелёные
npm run test:e2e    # ключевые пользовательские сценарии

Major-версии: примеры потребуемых изменений

React 17 → 18:

• ReactDOM.render → createRoot
• Изменения в useEffect с Concurrent Mode
• Strict Mode теперь монтирует компоненты дважды в dev

Next.js 13 → 14:

• Pages Router → App Router (если мигрируем)
• getServerSideProps → async Server Components
• Новые conventions для metadata

Node.js 18 → 20:

• Изменения в crypto API
• Новый встроенный fetch (может конфликтовать с node-fetch)

Регламент обновлений

Ежемесячное обслуживание зависимостей среднего проекта — 4–8 часов.