“包管理器是万恶之源”：一次来自Odin语言作者的灵魂拷问
💡
原文中文，约3500字，阅读约需9分钟。
📝
内容提要
包管理器被批评为导致“依赖地狱”，开发者在享受便利时忽视了对依赖的思考。Ginger Bill认为，手动管理依赖能促使开发者更谨慎地选择和审视每个包，从而避免潜在风险。Go语言凭借强大的标准库，降低了对外部依赖的需求，开发者应优先使用标准库并定期审计依赖。
🎯
关键要点
- 包管理器被批评为导致“依赖地狱”，开发者在享受便利时忽视了对依赖的思考。
- Ginger Bill认为，手动管理依赖能促使开发者更谨慎地选择和审视每个包，从而避免潜在风险。
- Go语言凭借强大的标准库，降低了对外部依赖的需求，开发者应优先使用标准库并定期审计依赖。
- 包管理器的自动化功能可能导致开发者忽视对依赖的思考，增加了潜在的风险。
- Go语言的设计哲学使其在一定程度上抵御了依赖爆炸的问题。
- 每一个依赖都是开发者需要承担的责任，开发者应对其安全性和维护状态负责。
- 程序员对开源代码的信任可能过于乐观，需保持警惕。
- 建议开发者在引入新依赖前进行尽职调查，优先选择标准库，并定期审计依赖树。
❓
延伸问答
包管理器为什么被称为“依赖地狱”的根源？
包管理器通过自动化下载和处理依赖关系，导致开发者忽视对依赖的思考，从而引发版本冲突和安全漏洞等问题。
Ginger Bill对手动管理依赖有什么看法？
他认为手动管理依赖能促使开发者更谨慎地选择和审视每个包，从而避免潜在风险。
Go语言如何降低对外部依赖的需求？
Go语言拥有强大的标准库，能够满足大部分开发需求，从而减少对外部包的依赖。
开发者在引入新依赖前应该做什么？
开发者应进行尽职调查，检查依赖的代码质量、社区活跃度和维护状态。
文章中提到的“盖尔曼遗忘效应”是什么？
这是指程序员对自己熟悉领域的错误保持警惕，但对不熟悉领域的代码却过于信任的现象。
如何定期审计项目的依赖树？
可以使用go mod graph和go list -m all命令来审视项目的依赖情况，并清理不再需要的依赖。
➡️
