Зависимость / Пакет

Когда мы разбирали open source, я говорил, что твои любимые приложения не собирают с нуля. Их сшивают из бесплатных кусков, которые другие люди уже сделали. У этих кусков есть название, и твой проект прямо сейчас опирается на десятки таких.

Зависимость — ровно это: готовый кусок чужого кода, который твой проект использует вместо того, чтобы писать свой. Когда он упакован так, чтобы его было легко взять и подключить, он называется пакетом. Твой проект от него «зависит», отсюда и название.

Покупное тесто для пирога. Ты печешь пирог. Ты можешь сам смолоть муку и собрать корж с нуля, а можешь купить готовый корж (который компания уже довела до ума) и потратить силы на начинку, которая правда твоя. Покупной корж — это зависимость. Твой пирог от него зависит. Ты его не делал. Твой десерт на него опирается. И никто не ругает тебя за то, что ты не выращивал пшеницу.

Почему так делает каждый проект, и это здравый смысл, а не лень. Скучные, тяжелые, уже решенные проблемы — работа с датами, обработка платежей, разбор файла, рисование календаря — кто-то уже построил, протестировал и закалил годами. Open source делает свою работу. Переписывать это самому было бы медленнее и хуже. Поэтому ты берешь пакет и вкладываешь силы в ту часть, которая твоя.

Где ты это увидишь: файл, который часто называется package.json, буквально является списком покупок, каждым чужим куском, который нужен проекту, с названием и версией. «Установить зависимости», или npm install, значит просто сходи принеси все из списка и заполни кладовку. Агент запускает это постоянно, как только поднимает проект.

Две честные ловушки, потому что здесь же все тихо идет не так:

1. У зависимостей есть зависимости. Твой корж сделали из чужой муки, а ее вырастили с чужим удобрением. Маленький проект может незаметно подтянуть сотни пакетов, о большинстве из которых ты никогда не слышал. Эта башня в основном держится, пока один кирпич где-то глубоко не ломается или не портится намеренно. (Помнишь ботов, которые сканируют публичный код на утекшие ключи? Отравленный пакет, который кто-то подсовывает в цепочку поставки, — реальный родственник этой проблемы, и полезно знать, что такая дверь существует.)
2. Версии важны. Корж, который ты купил в прошлом году, и корж в этом году могут быть слегка разными рецептами. Закрепи, какую версию используешь, иначе обычное «обновление» может тихо поменять вкус всего пирога.

Почему это важно не-кодеру: это меняет представление о том, что вообще значит «строить». Ты не вырезаешь каждую деталь из сырого дерева. Ты выбираешь хорошие готовые детали и хорошо их собираешь. Поэтому когда агент говорит «добавлю пакет для этого», он не срезает угол. Это весь современный способ собирать софт.

Зависимость — это покупной корж. Ты его не делал, проект на него опирается, и это не жульничество. Именно поэтому ты можешь тратить время на начинку.