Imranur Rahman

研究：浮动依赖项可减少过时，但会增加漏洞风险

一项发表在arXiv上的新研究调查了软件开发中固定和浮动依赖项版本之间的权衡。研究人员分析了npm、PyPI和Cargo生态系统的趋势，以确定不同类型的版本约束如何影响依赖项过时或易受攻击的可能性。研究结果表明，虽然固定版本可以防止供应链攻击，但它通常会导致依赖项过时。浮动次要版本被发现是过时和易受攻击依赖项最常见的约束类型，而浮动主版本最不可能导致依赖项过时。