パッケージとは

パッケージは、ソフトウェアやライブラリを配布・インストールしやすいように、プログラムのファイルと、名前・バージョン・依存関係 などの情報をひとまとめにしたものです。

主な種類

• プログラミング言語のライブラリ：npm（JavaScript）、Composer（PHP）、pip（Python）など
• OS のソフトウェア：ディストリビューション ごとの apt・dnf などで管理する Linux のパッケージ
• コンテナ：アプリケーションと実行環境をまとめた コンテナイメージ

パッケージマネージャー

パッケージの検索・インストール・更新・削除を行う道具をパッケージマネージャーと呼びます。依存するパッケージもまとめて入れ、どのバージョンを入れたかを ロックファイル に記録します。

セキュリティ上の注意

• 依存するパッケージに 脆弱性 が見つかることがある。定期的に更新し、GHSA などの情報を確認する
• 公開リポジトリに、正規のパッケージに似た名前の悪意あるパッケージが登録されることがある（タイポスクワッティング）
• 正規のパッケージが乗っ取られ、不正なコードが混入する サプライチェーン攻撃 も起きている
• 使っているパッケージを一覧にした SBOM があると、影響の確認が早くなる

関連用語

依存関係、npm、ロックファイル、サプライチェーン攻撃