Зачем нужны компоненты для балансировки?

Question

Bower docs говорит

N.B. Если вы не создаете пакет, предназначенный для потребления другими (например, вы создаете веб-приложение), вы всегда должны проверять установленные пакеты в исходном элементе управления.

У кого-нибудь есть хороший ответ на вопрос почему?

Если я сделать веб-приложение, я не хочу, чтобы мой репо завален обновлений в версии библиотеки X.

Я просто хочу, чтобы обновить зависимости bower.json. Я бы подумал, что у большинства проектов будет этап сборки или аналогичный, например, с хрюканьем. На этапе сборки вы должны были бы вызвать установку/обновление bower перед сборкой, чтобы эти файлы присутствовали для concat/minification и т. Д. Или даже обычная копия в какую-либо папку dist.

Я что-то упустил?

Answer 1

Это необходимо для блокировки ваших зависимостей, чтобы не допустить плохой зависимости от взлома приложения или удаленного устройства, предотвращающего развертывание. Это может произойти, даже если у вас есть шаг сборки, поскольку вы, вероятно, не тщательно тестируете каждую сборку, а автоматические тесты не поймают все, особенно не визуальные регрессии. Кроме того, у нескольких разработчиков могут быть разные версии зависимости. Благодаря наличию зависимостей вы гарантируете, что все останутся в одной и той же версии. Я также вижу, что diff - хороший способ гарантировать, что в дереве зависимостей не было введено ничего злонамеренного.

В мире узлов npm shrinkwrap частично решает это, но еще не выполняет сопоставление контрольной суммы. В настоящее время Bower имеет открытый ticket для реализации того же самого.

Вы можете прочитать об этом в этом блоге: Checking in front-end dependencies

Answer 2

Этот ответ не является техническим, но практическая причина, чтобы не проверить в компонентах Бауэр.

Я бы предпочел, чтобы пакеты bower были заблокированы в bower.json, а не проверялись в этих пакетах. Поскольку мне доверяют, вы не можете загружать и распаковывать тысячи файлов на компьютере. У медленных компьютеров есть проблема с очень большими и глубокими файловыми путями. И в этом мире Интернета я считаю, что всегда легко загружать пакеты, а не переносить их.

Это всего лишь вопрос предпочтения. Все это исходит из опыта. Я проверил проект с компонентами bower на Github, и это хуже при загрузке и загрузке. Я сделал это через относительно новый Mac.