[論文レビュー] On the Impact of Micro-Packages: An Empirical Study of the npm JavaScript Ecosystem

Raula Gaikovina Kula, Ali Ouni+2 more|arXiv (Cornell University)|Sep 14, 2017

Open Source Software Innovations参考文献 19被引用数 17

ひとこと要約

本論文は、169,964個のパッケージを対象とした実証的調査を通じて、npm JavaScriptエコシステムにおけるマイクロパッケージの影響を調査している。マイクロパッケージは広く普及しており、しばしば長い依存関係チェーンを有し、より大きなパッケージと同等の使用コストを負担していることが判明した。これは、マイクロパッケージが軽量で低影響であるという仮定に反する。研究は、小さな重要な依存関係への過剰依存がエコシステムの脆さをもたらすことを浮き彫りにしている。

ABSTRACT

The npm repository contains JavaScript libraries that are used by millions of software developers. Its semantic versioning system relies on the ability to distinguish between breaking and non-breaking changes when libraries are updated. However, the dynamic nature of JavaScript often causes unintended breaking changes to be detected too late, which undermines the robustness of the applications. We present a novel technique, type regression testing, to automatically determine whether an update of a library implementation affects the types of its public interface, according to how the library is being used by other npm packages. By leveraging available test suites of clients, type regression testing uses a dynamic analysis to learn models of the library interface. Comparing the models before and after an update effectively amplifies the existing tests by revealing changes that may affect the clients. Experimental results on 12 widely used libraries show that the technique can identify type-related breaking changes with high accuracy. It fully automatically classifies at least 90% of the updates correctly as either major or as minor or patch, and it detects 26 breaking changes among the minor and patch updates.

研究の動機と目的

• npm JavaScriptエコシステムにおけるマイクロパッケージの普及状況と分布を理解すること。
• マイクロパッケージが引き受ける依存関係チェーンの複雑さを分析すること。
• マイクロパッケージを使用する際の開発者による使用コスト（フェッチ、インストール、ロード時間）を測定すること。
• マイクロパッケージが依存関係の変更に敏感であるがゆえにエコシステムの脆さに寄与しているかどうかを評価すること。
• ソフトウェアエコシステムにおけるサードパーティ依存関係のためのより良い認識とレジリエンス対策を促すこと。

提案手法

• npmレジストリデータを用いて、169,964個のnpmパッケージのメタデータおよび依存関係グラフを収集した。
• 最小限の機能と単一責任設計に基づき、コードサイズと関数数を代理指標として用いてマイクロパッケージを定義した。
• package.jsonファイルからの再帰的依存関係解決を用いて、透過的依存関係チェーンを追跡した。
• require-profilerと静的コード解析を用いて、フェッチ、インストール、ロード時間のシミュレートされたメトリクスにより使用コストを測定した。
• Esprimaを用いた静的コード解析により、関数数やコード複雑度などのコードメトリクスを抽出した。
• 依存関係の深さと使用コストについて、マイクロパッケージと非マイクロパッケージを比較する統計的分析を実施した。

実験結果

リサーチクエスチョン

• RQ1 RQ1: npmエコシステム全体でマイクロパッケージはどれほど広く普及しているか？
• RQ2 RQ2: マイクロパッケージが引き受ける依存関係チェーンの長さと複雑さはいかほどか？
• RQ3 RQ3: マイクロパッケージを使用する際の開発者による使用コスト（フェッチ、インストール、ロード時間）は、他のnpmパッケージと比べてどの程度か？

主な発見

• マイクロパッケージはnpmエコシステムの大きな割合を占めており、最小限の機能であるにもかかわらず、多くの場合で広く再利用されている。
• 一部のマイクロパッケージは長い依存関係チェーンを有しており、最大20段階以上に達するものもあった。これは、より大きな複雑なパッケージと同程度の深さである。
• マイクロパッケージの使用コスト（フェッチ、インストール、ロード時間）は、非マイクロパッケージと統計的に区別がつかない。
• 研究は、マイクロパッケージがエコシステムへの影響という観点から本質的に軽量であるとは言えず、その低オーバーヘッドという仮定に疑問を呈することを確認した。
• left-pad事件は、1つのマイクロパッケージがエコシステム全体に広範な混乱を引き起こす典型例であることが裏付けられた。
• 研究結果は、マイクロパッケージがその高い依存関係への感受性と広範な再利用性から、エコシステムの脆さに寄与している可能性を示唆している。