依存関係とは

依存関係は、あるプログラムが動くために、ほかのライブラリやパッケージを必要としている関係のことです。必要とされる部品そのものを「依存関係」や「依存パッケージ」と呼ぶこともあります。

直接の依存と間接の依存

• 直接の依存：自分のプロジェクトで明示的に入れているパッケージ（package.json・composer.json に書くもの）
• 間接の依存：直接の依存がさらに必要としているパッケージ。気付かないうちに数百件になることもある

管理の方法

npm や Composer などのパッケージマネージャーで、依存関係の追加・更新・削除を行います。実際に入ったバージョンは ロックファイル に記録され、別の環境でも同じ組み合わせを再現できます。

セキュリティ上の注意

• 依存関係に 脆弱性 が見つかると、自分のプログラムも影響を受ける。npm audit や GitHub の Dependabot などで、定期的に確認する
• 依存しているパッケージに不正なコードが紛れ込む サプライチェーン攻撃 に注意する
• 使っていないパッケージは削除し、依存関係を必要なものに絞る
• SBOM で、使っている部品を一覧にしておく

関連用語

ロックファイル、npm、SBOM、サプライチェーン攻撃