Strumenti

Un gestore di pacchetti è uno strumento che installa, aggiorna e rimuove software - insieme a tutto ciò da cui quel software dipende - recuperandolo da un repository. Invece di scaricare file a mano, scompattarli nei posti giusti e sperare di aver trovato ogni pezzo, chiedi al gestore ciò che vuoi e lui fa il lavoro: individua il pacchetto, tira dentro gli altri pacchetti di cui ha bisogno, li mette dove vanno e registra ciò che ha installato. È proprio questa registrazione che gli permette poi di aggiornare o rimuovere in modo pulito la stessa cosa.

Il problema che risolve: le dipendenze

I gestori di pacchetti esistono perché quasi nessun software sta in piedi da solo. Un programma di solito dipende da librerie, e quelle librerie dipendono da altre librerie, formando una catena chiamata dipendenze transitive. Sbrogliare tutto a mano è lento e soggetto a errori: bisogna trovare ogni dipendenza, scegliere una versione compatibile, installarla nell'ordine giusto e ripetere l'intero processo su ogni macchina. Un gestore di pacchetti lo fa automaticamente, ed è per questo che è diventato una parte standard di quasi ogni sistema operativo e linguaggio di programmazione.

I gestori di pacchetti del sistema operativo

Il primo grande tipo è il gestore di pacchetti del sistema operativo, che installa software e librerie di sistema per l'intera macchina. Su Debian e Ubuntu è apt, su Fedora e Red Hat è dnf, su macOS molti sviluppatori usano Homebrew (il comando brew), e su Windows c'è winget. Questi strumenti attingono da repository curati di pacchetti costruiti per quel sistema, gestiscono le dipendenze tra di essi e mantengono il software aggiornato con un solo comando.

• Installa, aggiorna e rimuove software e le sue dipendenze
• Gestori di sistema: apt, dnf, Homebrew, winget
• Gestori di linguaggio: npm, pip, cargo, Composer
• Risoluzione delle versioni + lockfile rendono le installazioni riproducibili
• Committa il lockfile e controlla le vulnerabilità

Gestori di pacchetti di linguaggio e progetto

Il secondo grande tipo è il gestore di linguaggio o di progetto, che installa le librerie di cui ha bisogno un progetto specifico invece del software per l'intera macchina. npm lo fa per JavaScript e Node.js, pip per Python, cargo per Rust e Composer per PHP. Leggono un file manifesto nel tuo progetto che elenca le dipendenze, poi le scaricano da un registro centrale nel progetto affinché il tuo codice possa usarle, mantenendo ogni progetto isolato dagli altri.

Repository, registri e risoluzione delle versioni

Per fare il suo lavoro, un gestore di pacchetti dialoga con un repository o un registro - un catalogo centrale dei pacchetti pubblicati e delle loro versioni. Quando chiedi un pacchetto, spesso specifichi non una versione esatta ma un intervallo, tramite una convenzione come il versionamento semantico (semver), dove numeri come 2.4.1 segnalano l'entità di un cambiamento. Il gestore esegue allora la risoluzione delle versioni: determina un insieme di versioni che soddisfa tutti i requisiti insieme, comprese tutte le dipendenze transitive, in modo che nulla vada in conflitto.

Lockfile e installazioni riproducibili

Poiché un intervallo di versioni può risolversi in versioni esatte diverse nel tempo, la maggior parte dei gestori di pacchetti moderni scrive un lockfile. Un lockfile registra la versione precisa di ogni pacchetto effettivamente installato, così la persona successiva - o il server di build - che installa il progetto ottiene esattamente lo stesso insieme, e non solo uno compatibile. È questo che rende le installazioni riproducibili: il manifesto dice ciò che vuoi in termini generali, e il lockfile fissa ciò che hai ottenuto.

Buone pratiche

Alcune buone pratiche discendono direttamente dal modo in cui funzionano questi strumenti. Committa il lockfile nel controllo di versione così che tutti e ogni ambiente installino un insieme di dipendenze identico, il che elimina un'intera categoria di sorprese del tipo funziona-sul-mio-computer. Esegui il comando di audit del gestore (molti, tra cui npm e gli strumenti basati su pip, ne offrono uno) per controllare le tue dipendenze rispetto ai database di vulnerabilità note, e aggiorna in modo deliberato invece di lasciare vecchie versioni non corrette.

Insidie a cui fare attenzione

Anche le insidie vale la pena conoscerle. Lasciare dipendenze non fissate - accettare qualunque versione risulti essere la più recente - significa che due installazioni possono differire in silenzio, così che una build che funzionava ieri può rompersi oggi senza alcun cambiamento da parte tua. E poiché stai prelevando codice da un registro pubblico, i gestori di pacchetti sono un bersaglio per gli attacchi alla catena di fornitura, dove un pacchetto malevolo o dirottato viene pubblicato con un nome dall'aspetto familiare. Rivedere ciò che aggiungi, sorvegliare i nomi typosquattati e tenere attivi gli audit sono le difese di ogni giorno.

Nel complesso, un gestore di pacchetti è uno degli strumenti più utili che uno sviluppatore abbia: trasforma l'intreccio di trovare, versionare e installare software in un paio di comandi, e il suo lockfile rende il risultato ripetibile tra le macchine. Impara quello che usano il tuo sistema operativo e il tuo linguaggio, committa il tuo lockfile, controlla le tue dipendenze, e installare software diventa un passaggio di routine e affidabile invece di una fonte di sorprese.