패키지 매니저 의존성 설치 전 공급망 체크리스트

기본 점검 순서

1. 프로젝트에 lockfile이 있는지 확인하고, 패키지 매니저와 버전을 팀 기준으로 고정합니다.
2. 새 의존성의 공식 저장소, 유지보수 상태, 다운로드 급증·소유권 변경·typosquatting 가능성을 봅니다.
3. postinstall, prepare, build.rs, native addon, URL import처럼 설치 중 코드가 실행되는 지점을 확인합니다.
4. private registry token, .npmrc, GOPRIVATE, cargo credentials, conda channel token이 커밋되지 않도록 제외합니다.
5. 라이선스가 회사 배포물과 맞는지 확인하고, 고객 납품물에는 SBOM이나 dependency 목록을 남깁니다.
6. CI와 로컬 환경에서 같은 버전으로 설치되는지 clean install과 캐시 제거 상태로 검증합니다.

주의할 점과 운영 팁

• 패키지 매니저는 다운로드 도구가 아니라 외부 코드를 프로젝트에 가져오는 공급망입니다.
• lockfile이 없으면 오늘 설치한 코드와 내일 설치한 코드가 달라질 수 있습니다.
• 개발 의존성도 빌드·테스트 중 실행되므로 운영 코드가 아니라고 방심하면 안 됩니다.
• Deno URL import나 Go module proxy는 내부 저장소 이름이 외부로 노출될 수 있습니다.
• 패키지 추가 PR에는 기능 설명뿐 아니라 왜 이 의존성이 필요한지와 대체 가능성을 남겨두세요.

관련 공식 다운로드 안내