javascript - 为什么要使项目依赖项保持最新？

Question

我看过 https://david-dm.org/ github repos 上的标签，我注意到我的一些项目确实有过时的依赖项，但从技术上讲，我的代码无需更新就可以了。让您的依赖项保持最新的可靠理由是什么？

Answer 1

您的代码(仍在)按预期运行和工作的事实并不意味着部署后发现的安全漏洞不会影响您的系统。

对于操作系统的任何更新，您可能会问同样的问题 - “它仍然有效，那么我为什么要安装最新的更新？”。

您需要更新您的软件，以便随时了解与您正在使用的软件版本(以及所依赖的软件版本)相关的错误修复/安全问题。

---

最近的一些(严肃的)例子，看看这些:

• Heartbleed
• Shellshock

这些错误不会影响您系统的功能 - 但您仍然容易受到攻击。

如果您只需要一个“充分理由”，我会选择修补安全漏洞。