Оновлення залежностей і бібліотек сайту

Обновленя залежностей та бібліотек сайту

Застарілі залежності — джерело уязвностей та технічного боргу. Обновленя не можна откладати до «накопленя», адже більший розрив версій означає складніший та рисковий апгрейд.

Стратегія обновлень

Patch-версії (1.2.3 → 1.2.4) — автоматично через Dependabot/Renovate, без ручного тестування.

Minor-версії (1.2.x → 1.3.0) — автоматично з ручною перевіркою CHANGELOG на breaking changes.

Major-версії (1.x → 2.0) — окрема задача з повним тестуванням, часто вимагає змін коду.

npm/Node.js: аудит та обновленя

# Аудит уязвностей
npm audit
npm audit --audit-level=high  # тільки high/critical

# Автоматичне исправлення мілких уязвностей
npm audit fix

# Список застарілих пакетів
npm outdated

# Обновленя одного пакета
npm update react react-dom

# Обновленя до наступної major-версії
npx npm-check-updates -u  # обновляє package.json
npm install               # встановлює обновлені версії

PHP/Composer: обновленя

# Список застарілих пакетів
composer outdated

# Обновленя в межах обмежень composer.json
composer update

# Обновленя конкретного пакета
composer update laravel/framework

# Перевірка уязвностей
composer audit

Python/pip: обновленя

pip list --outdated
pip install --upgrade package-name
pip-audit  # перевірка CVE

Dependabot: автоматизація

# .github/dependabot.yml
version: 2
updates:
  - package-ecosystem: npm
    directory: /
    schedule:
      interval: weekly
      day: monday
    groups:
      production-dependencies:
        dependency-type: production
        update-types: [minor, patch]
    open-pull-requests-limit: 5

  - package-ecosystem: composer
    directory: /
    schedule:
      interval: weekly
    open-pull-requests-limit: 3

Тестування після обновления

# Повний цикл перевірки
npm run build       # немає помилок сборки
npm run lint        # немає нових попереджень
npm run test        # всі тесты зелені
npm run test:e2e    # ключові сценарії користувача

Major-версії: приклади необхідних змін

React 17 → 18:

• ReactDOM.render → createRoot
• Зміни в useEffect з Concurrent Mode
• Strict Mode тепер монтує компоненти двічі в dev

Next.js 13 → 14:

• Pages Router → App Router (якщо мігруємо)
• getServerSideProps → async Server Components
• Нові conventions для metadata

Node.js 18 → 20:

• Зміни в crypto API
• Новий вбудований fetch (може конфліктувати з node-fetch)

Регламент обновлень

Щомісячне обслуговування залежностей середнього проекту — 4–8 годин.