[論文レビュー] An Empirical Study of Usages, Updates and Risks of Third-Party Libraries in Java Projects

Ying Wang, Bihuan Chen+6 more|arXiv (Cornell University)|Feb 25, 2020

Software Engineering Research参考文献 86被引用数 6

ひとこと要約

本論文は、806のJavaオープンソースプロジェクトにおけるサードパーティライブラリの使用状況、更新状況、リスクに関する大規模な実証的調査を提示する。13,565のライブラリを分析し、広範な古いライブラリ使用と遅延した更新が見られることが明らかになった。本研究では、細粒度なAPIコールグラフ分析を用いて、危険で古くなったライブラリバージョンを特定するバグ駆動型アラートシステムを提案している。実際の調査では、人気のあるライブラリリリースの31.6％が深刻なバグを含み、開発者が自信をもって更新するための具体的なシグナルが不足していることが示された。

ABSTRACT

Third-party libraries are a central building block to develop software systems. However, outdated third-party libraries are commonly used, and developers are usually less aware of the potential risks. Therefore, a quantitative and holistic study on usages, updates and risks of third-party libraries can provide practical insights to improve the ecosystem sustainably. In this paper, we conduct such a study in the Java ecosystem. Specifically, we conduct a library usage analysis (e.g., usage intensity and outdatedness) and a library update analysis (e.g., update intensity and delay) using 806 open-source projects. The two analyses aim to quantify usage and update practices holistically from the perspective of both open-source projects and third-party libraries. Then, we conduct a library risk analysis (e.g., potential risk and developer response) in terms of bugs with 15 popularly-used third-party libraries. This analysis aims to quantify the potential risk of using outdated libraries and the developer response to the risk. Our findings from the three analyses provide practical insights to developers and researchers on problems and potential solutions in maintaining third-party libraries (e.g., smart alerting and automated updating of outdated libraries). To demonstrate the usefulness of our findings, we propose a bug-driven alerting system for assisting developers to make confident decisions in updating third-party library versions. We have released our dataset to foster valuable applications and improve the ecosystem.

研究の動機と目的

• Javaオープンソースプロジェクトにおけるサードパーティライブラリの実世界での使用状況と更新パターンを理解すること。
• 特にセキュリティ以外のバグがシステム安定性に与える影響を踏まえた、古くなったライブラリバージョンに関連するリスクを定量化すること。
• 開発者がいつ、そしてどうしてライブラリを更新すべきかを判断するのに役立つ、具体的で細粒度なアラートの欠如を是正すること。
• ライブラリメンテナンスとエコシステムの持続可能性を改善するための実証的証拠と実用的知見を提供すること。
• 実際にコードに影響を与えるリスクを考慮した、リスク認識に基づいた更新を優先するプロトタイプアラートシステムの開発と実証

提案手法

• 806のオープンソースJavaプロジェクトおよび13,565のサードパーティライブラリを対象に、ライブラリ使用状況と更新実務に関する定量的分析を実施。
• エコシステム全体のバージョン管理付きコールグラフを構築し、プロジェクト内で実際に呼び出されているバグのあるメソッドや変更されたメソッドを特定。
• 混合手法によるリスク分析：15の代表的なライブラリのリリース履歴とバグレポートの定量的分析に加え、開発者の反応に関するヒューマンスタディを実施。
• 実際にプロジェクト内で使用されている深刻な非セキュリティバグを含む、古くなったライブラリバージョンを特定するプロトタイプアラートシステムを設計。
• 静的および動的解析手法を用いて、ライブラリバージョンの変更（バグ修正、API変更など）がプロジェクトコードに対して意味的に関連しているかどうかを評価。
• 得られた知見を実用的なシステムに統合し、開発者が更新意思決定を下す際に説得力があり、細粒度なシグナルを提供する

実験結果

リサーチクエスチョン

• RQ1 RQ1: Javaプロジェクトにおけるサードパーティライブラリの使用強度と、使用の古さ（使用されていない状態）はどの程度か？
• RQ2 RQ2: プロジェクト全体を通じて、サードパーティライブラリの更新強度と更新遅延はどの程度か？
• RQ3 RQ3: 古くなったサードパーティライブラリを使用する潜在的リスクは何か？開発者はそのリスクに対してどのように反応するか？
• RQ4 RQ4: バグのあるライブラリバージョンの更新を、開発者が情報に基づいて意思決定できるような実用的なアラートシステムをどのように構築できるか？

主な発見

• 77.4％のサードパーティライブラリが、たった1つのオープンソースプロジェクトでのみ使用されており、これは高い断片化と低い再利用性を示している。
• 60.0％のライブラリが、すべてのプロジェクトでそのAPIの2％未満しか使用されていないため、ライブラリ機能の大部分が未使用のままになっていると考えられる。
• 38.0％のプロジェクトが、最新リリースから10バージョン以上も遅れているライブラリを使用しており、これは広範な古さの問題を示している。
• 54.9％のプロジェクトが、ライブラリ依存関係の半数以上を更新していないため、メンテナンスの質の低さが顕著に表れている。
• 50.5％のプロジェクトが、平均して60日以上の更新遅延を経ており、より安全な最新バージョンへの移行が著しく遅れていることが明らかになった。
• 15の代表的ライブラリのリリースの31.6％が深刻なバグを含んでおり、その多くが実際のプロジェクトでも発生しているため、古くなったバージョンのリスクが顕著に浮き彫りになった。