Movimento 0deps: Dependências Locais e Contratos Imutáveis
Desenvolvedores de software frequentemente instalam centenas de bibliotecas externas. Frameworks modernos dependem de milhares de dependências transitivas. Isso significa que sua aplicação executa código de estranhos.
Isso cria um risco na cadeia de suprimentos de software.
Cada dependência aumenta sua superfície de ataque. Ela pode:
- Introduzir falhas de segurança.
- Tornar-se um alvo para ataques de cadeia de suprimentos.
- Ser abandonada por mantenedores.
- Alterar sua API pública.
- Quebrar a compatibilidade com versões anteriores.
O movimento 0deps faz uma pergunta simples: E se sua aplicação dependesse apenas de código que você controla?
No modelo 0deps, você incorpora as dependências necessárias diretamente no repositório do seu projeto. Você para de baixá-las dinamicamente durante os builds. Tudo o que é necessário para executar a aplicação permanece no repositório desde o início.
Esta abordagem oferece:
- Builds reproduzíveis.
- Menor dependência de registros externos.
- Auditorias de segurança centralizadas.
- Maior previsibilidade.
O princípio fundamental não é manter o código estático. Implementações e algoritmos devem evoluir para corrigir bugs e melhorar a segurança. O que permanece estável é o contrato público.
Cada biblioteca expõe uma interface cuidadosamente projetada. Exemplos incluem:
authenticate()createSession()verifyPasskey()
Essas funções definem um contrato. O contrato nunca muda. Você pode reescrever o código por trás dele ou substituir a biblioteca inteira. O restante da sua aplicação não notará a mudança.
Quando uma vulnerabilidade aparece, você geralmente enfrenta dois problemas:
- Corrigir a falha.
- Verificar se a atualização quebra sua aplicação.
Em uma arquitetura 0deps, o segundo problema desaparece. Você atualiza a implementação interna enquanto a API pública permanece a mesma. Sua aplicação continua funcionando sem alterações de código.
Você isola integrações externas usando um adaptador interno: Aplicação -> Interface Pública -> Adaptador -> Implementação
Se uma biblioteca desaparecer amanhã, você só precisará alterar o adaptador. Nenhuma outra parte da sua aplicação quebrará.
O 0deps não torna o software perfeito. Ele reduz os riscos da cadeia de suprimentos. Ele evita problemas como pacotes maliciosos, comprometimento de registros e confusão de dependência.
Projetos duram décadas. Bibliotecas e frameworks mudam. Com o 0deps, sua aplicação continua a usar os mesmos contratos estáveis, independentemente de como o ecossistema evolua.