Outils

Un gestionnaire de paquets est un outil qui installe, met a jour et supprime des logiciels - ainsi que tout ce dont ces logiciels dependent - en les recuperant depuis un depot. Au lieu de telecharger des fichiers a la main, de les decompresser au bon endroit en esperant n'avoir rien oublie, vous demandez au gestionnaire ce que vous voulez et il fait le travail : il localise le paquet, tire les autres paquets dont il a besoin, les place ou il faut et enregistre ce qu'il a installe. C'est cet enregistrement qui lui permet ensuite de mettre a jour ou de supprimer proprement la meme chose.

Le probleme qu'il resout : les dependances

Les gestionnaires de paquets existent parce que presque aucun logiciel ne fonctionne seul. Un programme depend generalement de bibliotheques, et ces bibliotheques dependent d'autres bibliotheques, formant une chaine appelee dependances transitives. Demeler cela a la main est lent et source d'erreurs : il faut trouver chaque dependance, choisir une version compatible, l'installer dans le bon ordre et repeter tout le processus sur chaque machine. Un gestionnaire de paquets le fait automatiquement, ce qui explique qu'il soit devenu un element standard de presque tous les systemes d'exploitation et langages de programmation.

Les gestionnaires de paquets du systeme

Le premier grand type est le gestionnaire de paquets du systeme d'exploitation, qui installe des logiciels et des bibliotheques systeme pour toute la machine. Sur Debian et Ubuntu c'est apt, sur Fedora et Red Hat c'est dnf, sur macOS beaucoup de developpeurs utilisent Homebrew (la commande brew), et sur Windows il y a winget. Ces outils tirent depuis des depots soignes de paquets construits pour ce systeme, gerent les dependances entre eux et maintiennent les logiciels a jour avec une seule commande.

• Installe, met a jour et supprime les logiciels et leurs dependances
• Gestionnaires systeme : apt, dnf, Homebrew, winget
• Gestionnaires de langage : npm, pip, cargo, Composer
• Resolution des versions + lockfiles = installations reproductibles
• Committez le lockfile et auditez les vulnerabilites

Les gestionnaires de langage et de projet

Le second grand type est le gestionnaire de langage ou de projet, qui installe les bibliotheques dont un projet precis a besoin, plutot que des logiciels pour toute la machine. npm le fait pour JavaScript et Node.js, pip pour Python, cargo pour Rust et Composer pour PHP. Ils lisent un fichier manifeste dans votre projet qui liste les dependances, puis les telechargent depuis un registre central dans le projet pour que votre code puisse les utiliser, en gardant chaque projet isole des autres.

Depots, registres et resolution des versions

Pour faire son travail, un gestionnaire de paquets dialogue avec un depot ou un registre - un catalogue central des paquets publies et de leurs versions. Quand vous demandez un paquet, vous indiquez souvent non pas une version exacte mais une plage, via une convention comme le versionnage semantique (semver), ou des numeros comme 2.4.1 signalent l'ampleur d'un changement. Le gestionnaire effectue alors la resolution des versions : il determine un jeu de versions qui satisfait toutes les exigences a la fois, y compris toutes les dependances transitives, pour que rien n'entre en conflit.

Lockfiles et installations reproductibles

Comme une plage de versions peut se resoudre en differentes versions exactes au fil du temps, la plupart des gestionnaires de paquets modernes ecrivent un lockfile. Un lockfile enregistre la version precise de chaque paquet reellement installe, de sorte que la personne suivante - ou le serveur de build - qui installe le projet obtienne exactement le meme jeu, et pas seulement un jeu compatible. C'est ce qui rend les installations reproductibles : le manifeste dit ce que vous voulez en termes generaux, et le lockfile fige ce que vous avez obtenu.

Bonnes pratiques

Quelques bonnes pratiques decoulent directement du fonctionnement de ces outils. Committez le lockfile dans le controle de version pour que tout le monde et chaque environnement installe un jeu de dependances identique, ce qui elimine toute une categorie de surprises du type ca-marche-chez-moi. Lancez la commande d'audit du gestionnaire (beaucoup, dont npm et les outils bases sur pip, en proposent une) pour verifier vos dependances face aux bases de vulnerabilites connues, et mettez a jour de facon deliberee plutot que de laisser en place de vieilles versions non corrigees.

Les pieges a surveiller

Les pieges meritent aussi d'etre connus. Laisser des dependances non epinglees - accepter la version la plus recente du moment - signifie que deux installations peuvent discretement differer, si bien qu'un build qui fonctionnait hier peut casser aujourd'hui sans le moindre changement de votre part. Et comme vous tirez du code depuis un registre public, les gestionnaires de paquets sont une cible pour les attaques de la chaine d'approvisionnement, ou un paquet malveillant ou detourne est publie sous un nom qui parait familier. Relire ce que vous ajoutez, surveiller les noms typosquattes et maintenir les audits actifs sont les defenses du quotidien.

Au total, un gestionnaire de paquets est l'un des outils les plus utiles d'un developpeur : il transforme l'enchevetrement du reperage, du versionnage et de l'installation des logiciels en quelques commandes, et son lockfile rend le resultat reproductible d'une machine a l'autre. Apprenez celui qu'utilisent votre systeme d'exploitation et votre langage, committez votre lockfile, auditez vos dependances, et installer un logiciel devient une etape routiniere et fiable plutot qu'une source de surprises.