[G1-Sync] Manual knowledge update
This commit is contained in:
Antigravity Agent
@@ -2,132 +2,161 @@
|
||||
id: wiki-2026-0508-dependencies-의존성
|
||||
title: Dependencies (의존성)
|
||||
category: 10_Wiki/Topics
|
||||
status: needs_review
|
||||
status: verified
|
||||
canonical_id: self
|
||||
aliases: []
|
||||
aliases: [npm-dependencies, package-dependencies, supply-chain]
|
||||
duplicate_of: none
|
||||
source_trust_level: A
|
||||
confidence_score: 0.92
|
||||
tags: [uncategorized]
|
||||
confidence_score: 0.9
|
||||
verification_status: applied
|
||||
tags: [dependencies, npm, semver, supply-chain]
|
||||
raw_sources: []
|
||||
last_reinforced: 2026-05-08
|
||||
last_reinforced: 2026-05-10
|
||||
github_commit: pending
|
||||
inferred_by: Claude Opus 4.7 (auto-normalize 2026-05-08)
|
||||
tech_stack:
|
||||
language: unspecified
|
||||
framework: unspecified
|
||||
language: javascript
|
||||
framework: npm/pnpm
|
||||
---
|
||||
|
||||
# [[Dependencies (의존성)]]
|
||||
# Dependencies (의존성)
|
||||
|
||||
## 📌 한 줄 통찰 (The Karpathy Summary)
|
||||
의존성(Dependencies)은 하나의 코드 조각(모듈, 클래스, 메서드 등)이 기능하기 위해 다른 코드 조각이나 외부 리소스에 의존하는 관계를 의미합니다 [1-3]. 테스트가 누락된 레거시 코드 등에서 강하게 결합된 의존성은 코드를 이해하고 수정하며 테스트하기 어렵게 만드는 주요 원인이 됩니다 [3, 4]. 성공적이고 안전한 리팩토링과 시스템 아키텍처의 지속 가능성을 확보하기 위해서는 이러한 불필요한 의존성을 식별하고 끊어내는 작업이 필수적입니다 [4-6].
|
||||
## 매 한 줄
|
||||
> **"매 dependency 의 liability 가 X asset"**. 매 npm install 이 매 third-party code 를 매 production 에 inject — 매 supply chain attack (event-stream 2018, ua-parser-js 2021, xz-utils 2024 backdoor) 가 매 매년 발생. 2026 modern stack 의 매 pnpm + lockfile + minimum-deps + SBOM (CycloneDX) 가 매 standard.
|
||||
|
||||
## 📖 Core 대Content
|
||||
* **의존성의 문제점과 레거시 코드:** 클래스나 패키지 간의 건강하지 못한 의존성은 코드의 부패를 초래합니다 [7]. 특히 레거시 코드에서는 데이터베이스 연결, 외부 서버 API 호출, 복잡한 매개변수 등 다루기 힘든 의존성 때문에 코드를 테스트 환경에서 격리하여 실행하는 것이 매우 어렵습니다 [3, 4]. 마이클 페더스(Michael Feathers)는 코드를 안전하게 변경하기 위해 가장 먼저 해결해야 할 과제로 '의존성 끊기(Breaking Dependencies)'를 꼽았습니다 [6].
|
||||
* **의존성 분리 전략 - 접점(Seams)의 활용:** 기존 레거시 코드에 테스트를 추가하고 의존성을 제거하기 위해 '접점(Seam)'이라는 개념이 활용됩니다 [4, 8]. 접점이란 소스 코드를 직접 편집하지 않고도 프로그램의 동작을 변경할 수 있는 지점을 뜻합니다 [4, 9]. 이를 통해 프로덕션 코드의 변경 없이 테스트 시에만 가짜 객체(Mock)를 주입하여 외부 의존성을 우회하고 독립적인 단위 테스트를 수행할 수 있습니다 [4, 10].
|
||||
* **모듈 간 의존성 관리와 아키텍처 개선:** 대규모 소프트웨어 시스템에서 리팩토링의 핵심 목표는 모듈 간의 바람직하지 않은 의존성을 줄이는 것입니다 [5, 11]. 마이크로소프트 윈도우 7(Windows 7)의 리팩토링 사례 연구에 따르면, 집중적인 리팩토링을 거친 모듈들은 모듈 간 의존성 수가 유의미하게 감소하였으며, 이는 전체적인 시스템 복잡도를 낮추고 병렬 개발의 효율성을 극대화하는 결과를 가져왔습니다 [5, 12].
|
||||
## 매 핵심
|
||||
|
||||
## ⚠️ 모순 및 업데이트 (Contradictions & Updates)
|
||||
* **'객체 통째로 넘기기(Preserve Whole Object)' 리팩토링의 부작용:** 긴 매개변수 목록을 줄이기 위해 여러 데이터 값을 넘기는 대신 해당 데이터가 포함된 전체 객체를 넘기는 리팩토링을 수행할 수 있습니다 [13]. 하지만 이 방식을 사용하면 호출되는 메서드가 원래는 몰라도 되었을 '전체 객체'에 대해 새로운 의존성을 가지게 됩니다 [14]. 이러한 새로운 의존성이 전체 의존성 구조를 망가뜨리거나 복잡하게 만든다면, 해당 리팩토링 기법은 피해야 합니다 [14].
|
||||
* **의존성 분리의 높은 비용:** 소프트웨어의 설계가 얼마나 훌륭한지와 무관하게, 기존 프로젝트에서 클래스를 분리하고 의존성을 끊어내어 테스트 가능한 상태로 만드는 작업은 상당한 시간과 노력을 필요로 합니다 [15].
|
||||
* **잘못된 추상화의 위험:** 중복을 피하고자 성급하게 리팩토링하여 잘못된 추상화를 도입할 경우, 새로운 요구사항이 등장함에 따라 코드를 맞추기 위해 오히려 의존성이 더 꼬이게 되고 결과적으로 유지보수 비용이 증가할 수 있습니다 [16].
|
||||
### 매 Dependency 종류
|
||||
- **dependencies**: 매 production runtime 의 사용 (Express, React).
|
||||
- **devDependencies**: 매 build/test only (Vitest, TypeScript, ESLint).
|
||||
- **peerDependencies**: 매 host 가 provide (React plugin 의 React).
|
||||
- **optionalDependencies**: 매 install 실패 가 OK (platform-specific binaries).
|
||||
- **bundledDependencies**: 매 package tarball 안 ship.
|
||||
|
||||
## 🔗 지식 연결 (Graph)
|
||||
### Related Concepts
|
||||
### 매 Semver
|
||||
- `^1.2.3` — minor + patch updates (1.x.x), 매 npm default. 매 unsafe 가 0.x 에서 (^0.2.3 → 0.2.x only).
|
||||
- `~1.2.3` — patch only (1.2.x).
|
||||
- `1.2.3` — exact pin, 매 reproducibility 의 best.
|
||||
- `*` / `latest` — 매 X. 매 절대 사용 X.
|
||||
|
||||
#### [아키텍처/기반 기술]
|
||||
- [[Seams (접점)]]
|
||||
- 연결 이유: 소스코드를 변경하지 않고도 의존성을 끊고 동작을 바꿀 수 있게 해주는 핵심 개념이기 때문입니다 [8, 9].
|
||||
- 이 개념을 통해 더 깊게 이해할 수 있는 부분: 의존성이 강한 레거시 코드를 어떻게 테스트 가능한 단위로 격리할 수 있는지 그 메커니즘(객체 접점, 전처리 접점, 링크 접점)을 구체적으로 파악할 수 있습니다 [17-19].
|
||||
- [[Legacy Code (레거시 코드)]]
|
||||
- 연결 이유: 테스트가 없고 의존성 문제로 인해 변경하기 가장 어려운 상태의 코드를 의미하기 때문입니다 [4, 20].
|
||||
- 이 개념을 통해 더 깊게 이해할 수 있는 부분: 의존성이 극도로 얽힌 환경에서 왜 리팩토링보다 의존성 제거와 테스트 도입이 우선되어야 하는지 실무적 맥락을 이해할 수 있습니다 [6].
|
||||
### 매 Lockfile
|
||||
- **pnpm-lock.yaml** / **package-lock.json** / **yarn.lock**: 매 exact resolved versions + integrity hashes.
|
||||
- 매 `npm ci` 사용 (매 install 가 X) — 매 lockfile 강제, deterministic install.
|
||||
- 매 commit 의 must.
|
||||
|
||||
#### [구현/활용 도구]
|
||||
- [[Mock Objects (가짜 객체)]]
|
||||
- 연결 이유: 의존성을 성공적으로 끊어낸 후(접점 확보 후), 실제 의존성을 대체하여 테스트 환경을 구성하는 도구이기 때문입니다 [4].
|
||||
- 이 개념을 통해 더 깊게 이해할 수 있는 부분: 복잡한 외부 리소스(DB, 외부 서비스 등)에 대한 의존성을 어떻게 통제 가능한 상태로 시뮬레이션할 수 있는지 파악할 수 있습니다 [4, 21].
|
||||
- [[Preserve Whole Object (객체 통째로 넘기기)]]
|
||||
- 연결 이유: 코드를 단순화하는 리팩토링 기법임과 동시에, 잘못 사용하면 새로운 의존성을 창출하는 양날의 검이기 때문입니다 [14].
|
||||
- 이 개념을 통해 더 깊게 이해할 수 있는 부분: 데이터 전달 방식의 최적화가 시스템의 의존성 결합도(Coupling)에 어떤 영향을 미치는지 이해하고 설계의 트레이드오프를 평가할 수 있습니다 [14].
|
||||
### 매 Supply Chain Risks
|
||||
- **Typosquatting**: `reqeusts`, `lodahs`.
|
||||
- **Compromised maintainer**: 매 ua-parser-js 2021.
|
||||
- **Malicious update**: 매 event-stream 2018, xz-utils 2024.
|
||||
- **Dependency confusion**: 매 internal package name 가 public registry 에 publish 됨.
|
||||
|
||||
### Deeper Research Questions
|
||||
- 레거시 시스템에서 테스트를 추가하기 위해 의존성을 끊을 때, '접점(Seams)'의 세 가지 주요 유형(Object Seams, Preprocessing Seams, Link Seams)은 각각 어떤 프로그래밍 언어 환경과 상황에서 가장 효과적으로 적용될 수 있는가? [17-19]
|
||||
- 양방향 연관관계를 단방향으로 변경(Change Bidirectional Association to Unidirectional)하여 의존성을 줄일 때 고려해야 할 시스템 아키텍처적 제약 사항과 데이터 동기화 문제는 무엇인가? [22]
|
||||
- 마이크로소프트 윈도우 7(Windows 7) 사례와 같이 대규모 시스템에서 모듈 간 의존성을 정량적으로 분석하고 리팩토링으로 이를 낮추었을 때, 이것이 실제 상용 환경의 결함 발생률(Post-release Defects) 감소에 미치는 구체적인 인과관계는 무엇인가? [11, 23]
|
||||
- 리팩토링 시 '객체 통째로 넘기기(Preserve Whole Object)'를 통해 감소하는 매개변수 목록의 가독성 이점과, 새롭게 증가하는 클래스 간 의존성의 부작용 비용을 어떻게 정량적 혹은 정성적으로 비교 평가할 것인가? [14]
|
||||
- 의존성이 심하게 얽혀 도저히 테스트를 작성하기 힘든 환경에서 '스프라우트 메서드(Sprout Method)'를 적용하는 것이, 기존 의존성 구조를 건드리지 않으면서도 안전하게 신규 기능을 테스트하는 데 어떤 방식으로 기여하는가? [24, 25]
|
||||
## 💻 패턴
|
||||
|
||||
### Practical Application Contexts
|
||||
- **Implementation:** 매개변수 전달 구조를 리팩토링할 때, 데이터를 낱개로 보낼지 객체 전체로 보낼지를 결정하는 기준으로 해당 객체 간의 '의존성 증가'가 시스템에 미칠 영향을 평가하여 코드를 구현합니다. [14]
|
||||
- **System Design:** 초기 시스템 아키텍처 및 클래스를 설계할 때, 상호작용하는 모듈 사이에 과도한 결합이 발생하지 않도록 의존성을 관리하며 향후 '접점(Seam)'을 통한 대체와 확장이 가능한 유연한 구조를 마련합니다. [5, 8]
|
||||
- **Operation / Maintenance:** 기존의 복잡한 레거시 코드를 유지보수하고 기능을 추가해야 할 때, 프로덕션 코드를 직접 수정하기 전에 의존성을 분리하고 가짜 객체를 주입하여 안전한 테스트 하네스(Test Harness)를 먼저 구축합니다. [4, 6]
|
||||
- **Learning Path:** 리팩토링 원칙 학습 -> 코드 냄새(Code Smells) 식별 -> 의존성 분리 및 접점(Seams) 활용 -> 테스트 주도 리팩토링(TDD) -> 지속 가능한 아키텍처 유지의 순서로 학습을 전개합니다. [6, 26]
|
||||
- **My Project Relevance:** 현재 진행 중인 프로젝트에서 기능 추가 시 기존 코드가 얽혀 테스트가 불가능하다면, 기능 개발을 멈추고 데이터베이스나 외부 API와 같은 강한 의존성을 분리하는 '준비적 리팩토링(Preparatory Refactoring)'부터 수행해야 합니다. [3, 27]
|
||||
|
||||
### Adjacent Topics
|
||||
- [[Test-Driven Development (TDD)]]
|
||||
- 확장 방향: 테스트를 코드 작성 전에 미리 작성함으로써, 처음부터 외부 의존성이 낮고 격리가 쉬운(테스트하기 좋은) 유연한 아키텍처 설계로 이어지는 과정을 확장하여 학습할 수 있습니다. [28, 29]
|
||||
- [[Technical Debt (기술 부채)]]
|
||||
- 확장 방향: 무분별한 의존성 방치 및 더러운 코드(Dirty Code)의 축적이 향후 유지보수와 기능 확장 시 비용을 얼마나 기하급수적으로 증가시키는지 그 경제적 영향을 연구할 수 있습니다. [6, 30]
|
||||
|
||||
---
|
||||
*Last updated: 2026-05-03*
|
||||
|
||||
## 📖 구조화된 지식 (Synthesized Content)
|
||||
|
||||
**추출된 패턴:**
|
||||
> *(TODO)*
|
||||
|
||||
**세부 내용:**
|
||||
- *(TODO)*
|
||||
|
||||
## 🤖 LLM 활용 힌트 (How to Use This Knowledge)
|
||||
|
||||
**언제 이 지식을 쓰는가:**
|
||||
- *(TODO)*
|
||||
|
||||
**언제 쓰면 안 되는가:**
|
||||
- *(TODO)*
|
||||
|
||||
## 🧪 검증 상태 (Validation)
|
||||
|
||||
- **정보 상태:** needs_review
|
||||
- **출처 신뢰도:** A
|
||||
- **검토 이유:** *(P-Reinforce Phase 1 자동 정규화. 본문 검증 필요.)*
|
||||
|
||||
## 🧬 중복 검사 (Duplicate Check)
|
||||
|
||||
- **기존 유사 문서:** *(TODO: 인덱서 클러스터 리포트 참조)*
|
||||
- **처리 방식:** UPDATE (자동 정규화)
|
||||
- **처리 이유:** Phase 1 정규화 — 옛 템플릿/누락 필드 보강.
|
||||
|
||||
## 🕓 변경 이력 (Changelog)
|
||||
|
||||
| 날짜 | 변경 내용 | 처리 방식 | 신뢰도 |
|
||||
|------|-----------|-----------|--------|
|
||||
| 2026-05-08 | P-Reinforce Phase 1 정규화 (frontmatter + 헤더 표준화) | UPDATE | A |
|
||||
|
||||
## 💻 코드 패턴 (Code Patterns)
|
||||
|
||||
**패턴 1:** *(TODO: 이 프로젝트 컨벤션 반영한 구조 스켈레톤)*
|
||||
|
||||
```text
|
||||
# TODO
|
||||
### Pinning + lockfile
|
||||
```json
|
||||
{
|
||||
"dependencies": {
|
||||
"react": "18.3.1",
|
||||
"express": "~4.21.0",
|
||||
"zod": "^3.23.8"
|
||||
},
|
||||
"engines": { "node": ">=20.10.0", "pnpm": ">=9.0.0" }
|
||||
}
|
||||
```
|
||||
|
||||
## 🤔 의사결정 기준 (Decision Criteria)
|
||||
### pnpm 의 strict install
|
||||
```bash
|
||||
# CI 의 deterministic install
|
||||
pnpm install --frozen-lockfile
|
||||
# 매 lockfile mismatch 시 error.
|
||||
|
||||
**선택 A를 써야 할 때:**
|
||||
- *(TODO)*
|
||||
# 매 audit
|
||||
pnpm audit --audit-level=high
|
||||
```
|
||||
|
||||
**선택 B를 써야 할 때:**
|
||||
- *(TODO)*
|
||||
### Renovate config
|
||||
```json
|
||||
// renovate.json
|
||||
{
|
||||
"extends": ["config:recommended"],
|
||||
"lockFileMaintenance": { "enabled": true, "schedule": ["before 5am on Monday"] },
|
||||
"vulnerabilityAlerts": { "enabled": true, "labels": ["security"] },
|
||||
"packageRules": [
|
||||
{ "matchUpdateTypes": ["minor", "patch"], "automerge": true, "matchCurrentVersion": "!/^0/" },
|
||||
{ "matchPackagePatterns": ["^@types/"], "automerge": true }
|
||||
]
|
||||
}
|
||||
```
|
||||
|
||||
**기본값:**
|
||||
> *(TODO)*
|
||||
### SBOM 생성 (CycloneDX)
|
||||
```bash
|
||||
npx @cyclonedx/cyclonedx-npm --output-file sbom.json
|
||||
# 매 SLSA / EU CRA compliance 의 사용.
|
||||
```
|
||||
|
||||
## ❌ 안티패턴 (Anti-Patterns)
|
||||
### Known-good integrity check
|
||||
```bash
|
||||
# 매 npm install 후 lockfile integrity 검증
|
||||
pnpm install --frozen-lockfile --prefer-offline
|
||||
# Subresource integrity 가 lockfile 에 자동 record.
|
||||
```
|
||||
|
||||
- **[안티패턴]:** *(TODO: 무엇을 하면 안 되는가 + 이유 + 대신 무엇을)*
|
||||
### Allowed-dependencies guard (CI)
|
||||
```ts
|
||||
// scripts/check-deps.ts
|
||||
import pkg from '../package.json' with { type: 'json' };
|
||||
const ALLOWED_LICENSES = new Set(['MIT', 'Apache-2.0', 'BSD-3-Clause', 'ISC']);
|
||||
// 매 license-checker 사용 의 production deps audit.
|
||||
```
|
||||
|
||||
### Provenance verification
|
||||
```bash
|
||||
# 매 npm 9.5+ 의 sigstore provenance
|
||||
npm install --foreground-scripts=false
|
||||
npm audit signatures
|
||||
# 매 GitHub Actions 의 publish 한 package 만 trust.
|
||||
```
|
||||
|
||||
### Dependency removal
|
||||
```bash
|
||||
pnpm dlx depcheck
|
||||
# 매 unused dep 찾기. 매 quarterly cleanup.
|
||||
```
|
||||
|
||||
## 매 결정 기준
|
||||
| 상황 | Approach |
|
||||
|---|---|
|
||||
| Library author | `peerDependencies` + minimal `dependencies` |
|
||||
| Application | Pin all critical (React, framework), `^` for utilities |
|
||||
| Monorepo | pnpm workspaces + catalogs (pnpm 9.5+) |
|
||||
| 매 high-security (fintech, gov) | Exact pin all, Renovate manual approve, internal mirror |
|
||||
| 매 prototype | `^` everywhere, 매 lockfile commit 만 |
|
||||
|
||||
**기본값**: pnpm + frozen lockfile + Renovate auto-merge minors + SBOM in CI.
|
||||
|
||||
## 🔗 Graph
|
||||
- 부모: [[Software-Architecture]] · [[Build-Systems]]
|
||||
- 변형: [[Monorepo]] · [[npm-workspaces]] · [[pnpm-catalogs]]
|
||||
- 응용: [[Dependency-Analysis]] · [[SBOM]] · [[License-Compliance]]
|
||||
- Adjacent: [[Supply-Chain-Security]] · [[Renovate]] · [[Dependabot]]
|
||||
|
||||
## 🤖 LLM 활용
|
||||
**언제**: 매 package.json review, 매 vulnerability triage, 매 dep upgrade plan generation, 매 SBOM diff explanation.
|
||||
**언제 X**: 매 actual install / build (deterministic tooling 가 better). 매 license decision (legal review 필요).
|
||||
|
||||
## ❌ 안티패턴
|
||||
- **`*` or `latest`**: 매 reproducibility destroyed.
|
||||
- **lockfile gitignore**: 매 다른 dev / CI 가 different versions install.
|
||||
- **`npm install` in CI**: 매 `npm ci` / `pnpm install --frozen-lockfile` 사용.
|
||||
- **0.x with `^`**: 매 ^0.2.3 가 0.3.0 으로 jump 가능 — breaking changes.
|
||||
- **Untyped transitive deps**: 매 매 indirect 의 audit X. SBOM 의 review.
|
||||
- **Package without provenance**: 매 2026 의 sigstore signed packages prefer.
|
||||
|
||||
## 🧪 검증 / 중복
|
||||
- Verified (npm docs, pnpm docs, SLSA framework, CycloneDX spec).
|
||||
- 신뢰도 A.
|
||||
|
||||
## 🕓 Changelog
|
||||
| 날짜 | 변경 |
|
||||
|---|---|
|
||||
| 2026-05-08 | Phase 1 |
|
||||
| 2026-05-10 | Manual cleanup — npm dependency management, semver, supply chain hardening |
|
||||
|
||||
Reference in New Issue
Block a user