[论文解读] On the Impact of Micro-Packages: An Empirical Study of the npm JavaScript Ecosystem

Raula Gaikovina Kula, Ali Ouni+2 more|arXiv (Cornell University)|Sep 14, 2017

Open Source Software Innovations参考文献 19被引用 17

一句话总结

本文通过一项对 169,964 个 npm 包的实证研究，调查了 JavaScript 生态系统中微型包的影响。研究发现，微型包广泛存在，通常具有较长的依赖链，并且其使用成本与大型包相当——这挑战了人们对其轻量级和低影响的假设。研究强调了因过度依赖小型关键依赖项而导致生态系统脆弱性的问题。

ABSTRACT

The npm repository contains JavaScript libraries that are used by millions of software developers. Its semantic versioning system relies on the ability to distinguish between breaking and non-breaking changes when libraries are updated. However, the dynamic nature of JavaScript often causes unintended breaking changes to be detected too late, which undermines the robustness of the applications. We present a novel technique, type regression testing, to automatically determine whether an update of a library implementation affects the types of its public interface, according to how the library is being used by other npm packages. By leveraging available test suites of clients, type regression testing uses a dynamic analysis to learn models of the library interface. Comparing the models before and after an update effectively amplifies the existing tests by revealing changes that may affect the clients. Experimental results on 12 widely used libraries show that the technique can identify type-related breaking changes with high accuracy. It fully automatically classifies at least 90% of the updates correctly as either major or as minor or patch, and it detects 26 breaking changes among the minor and patch updates.

研究动机与目标

• 了解 npm JavaScript 生态系统中微型包的普遍性和分布情况。
• 分析微型包所继承的依赖链的复杂性。
• 衡量使用微型包所关联的开发者使用成本（获取、安装、加载时间）。
• 评估微型包是否因其对依赖项变更的敏感性而加剧生态系统的脆弱性。
• 推动对软件生态系统中第三方依赖项的更好认知和弹性实践。

提出的方法

• 使用 npm 注册表数据，从 169,964 个 npm 包中收集元数据和依赖图。
• 基于最小功能和单一职责设计定义微型包，使用代码大小和函数数量作为代理指标。
• 通过递归解析 package.json 文件中的依赖项，追踪传递依赖链。
• 使用 require-profiler 和静态代码分析，通过模拟获取、安装和加载时间指标来测量使用成本。
• 使用 Esprima 进行静态代码分析，提取函数数量和代码复杂度等代码度量指标。
• 应用统计分析，比较微型包与非微型包在依赖深度和使用成本方面的差异。

实验结果

研究问题

• RQ1 RQ1: 微型包在 npm 生态系统中有多普遍？
• RQ2 RQ2: 微型包所继承的依赖链的长度和复杂性如何？
• RQ3 RQ3: 与其它 npm 包相比，使用微型包的开发者使用成本（获取、安装、加载时间）如何？

主要发现

• 微型包在 npm 生态系统中占显著比例，尽管功能极为有限，但许多被广泛重用。
• 部分微型包表现出极长的依赖链——深度可达 20 多层，与大型复杂包相当。
• 微型包的使用成本（获取、安装、加载时间）在统计上与非微型包无显著差异。
• 研究证实，微型包在生态系统影响方面并非本质上轻量，这挑战了其低开销的假设。
• 左划垫（left-pad）事件被验证为单个微型包导致整个生态系统广泛中断的典型事例。
• 研究结果表明，由于微型包对依赖项变化高度敏感且被广泛重用，因此它们加剧了生态系统的脆弱性。