А что делать, когда автор удалит свой репозиторий?

Question

[FilIvanov]

Как в современных реалиях обезопасить проект от ситуации, когда мы используем стороннего вендора и зависим от его кода? Нет никаких гарантий, что автор не удалит свой репозиторий или аккаунт.

Comments

[datka]

Fork?

[FilIvanov]

datka, хорошая идея. Но если вендоров много?

[Adamos]

FilIvanov, композер собирает вам в папку vendors это самое "много".
Вы определитесь, чего опасаетесь. Того, что неоткуда будет взять конкретную библиотеку? Ну, из той же папки скопировать ее можно. А вот если автор забил на пакет и он перестал быть совместим с тем, что вам сегодня надо - вы все равно никак не убережетесь. Разве что поднимая полноценные форки всего, что вам надо, и поддерживая их самостоятельно.

[FilIvanov]

Adamos,

Вы определитесь, чего опасаетесь

того и опасаюсь - что потом мы будем копипастом заниматься.

[Adamos]

FilIvanov, ну, вы получили код на халяву. Что бы вы делали, если бы его не нашлось? Вот то же самое, собственно.

[Василий Банников]

FilIvanov, в крупных компаниях все используемые артефакты обязательно зеркалируют/проксируют в своих репозиториях. Если пропадает первоисточник - пользуются копией.
Ну и если делаешь что-то критичное, то надо ещё и риск оценивать.

Вот уже были случаи, когда из-за политики и фичи удаляли, и лозунги вставляли, а то и реальные вирусы.
Ну и ещё мейнтейнер всегда может сойти с ума, что тоже реальный риск

[Adamos]

Василий Банников, ну, вообще-то взломы и подбрасывание троянов в репы случаются чаще без всякой политики, просто такие случаи меньше обсасывают в медиапространстве. Особенно в JS-инфраструктуре.

[Василий Банников]

Adamos, я это и имел в виду, но, видимо, не совсем корректно выразился.
(из-за политики и фичи удаляли, и лозунги вставляли) & (реальные вирусы)

Answer 1

[Freeman]

Но если вендоров много?

Вам шашечки или ехать? Количество форков как-то ограничено? Лень кнопки нажимать? Места на винте не хватает?Или это для вас развлечение, а не бизнес? Если бизнес — относиться надо как к бизнесу и работать, а не ныть.

Я, вот, не поленился своим репам даже зеркалирование на TvoyGit.ru настроить (у него регистрация простая и паспорт для публичных реп не нужен, в отличие от GitFlic). Кстати, популярные проекты вполне могут быть уже там склонированы, кто-то постоянно добавляет новые репы. Можно поискать.