Dois-je créer un nouveau package d'instantané chaque fois qu'une dépendance obtient une mise à jour de sécurité?
Si je crée un package snap avec, disons, 5 dépendances. Dois-je créer une nouvelle version de package chaque fois qu'une dépendance obtient une mise à jour (de sécurité)?
Je veux dire que l’avantage des paquets . Deb est que, dans Ubuntu/Debian par exemple, je peux utiliser une bibliothèque et une fois que cette bibliothèque obtient une mise à jour, cela signifie une mise à jour. pour une partie de mon logiciel aussi. Et comme ils ne soumettent que des mises à jour de sécurité, je peux (à 99%) être sûr que la mise à jour de la bibliothèque ne cassera pas l'API et que mon logiciel risque de tomber en panne.
La réponse courte est oui, vous devrez reconstruire votre capture si vous devez mettre à jour une dépendance. Cependant, il y a une réponse plus longue ici aussi.
Supposons que certaines applications utilisent SSL (par exemple, un logiciel intégré ou un site Web complet utilisant Apache). Vous faites vos recherches et utilisez des algorithmes spécifiques d’échange de clés et symétriques. Supposons maintenant qu'une faille de sécurité a été découverte dans SSL et qu'une nouvelle version a été publiée. Ce n’est pas parce qu’il s’agit d’une mise à jour de sécurité que la vulnérabilité corrigée faisait partie de l’un des algorithmes que vous avez utilisés. Et si ce n'était pas le cas? Que se passe-t-il si, en corrigeant cette vulnérabilité dans un algorithme que vous n'avez pas utilisé, quelque chose que vous avez utilisé était cassé ou compromis (ce qui m'est arrivé récemment avec PHP)? Si vous le regroupez, vous pouvez demander si vous devez ou non effectuer la mise à niveau à chaque utilisation. Vous pouvez également le tester de manière approfondie avant de le diffuser à tous vos utilisateurs. Il est également possible que la distribution que vous ciblez utilise une version différente de SSL qui ne fonctionne pas avec votre logiciel. Dans ce cas, son regroupement instantané procure une expérience commune sur toutes les plates-formes.
Il y a certainement un compromis entre les avantages du partage de dépendances et les avantages de les regrouper.