Verificar a identidade de um pacote sugerido antes de adicioná-lo a um projeto

Objetivo

Confirmar que o nome de um pacote sugerido durante a programação corresponde à dependência mantida que se pretendia, antes de alterar os arquivos de dependências do projeto ou executar hooks de instalação.

Pré-requisitos

É preciso ter a capacidade necessária, a política de dependências do projeto e acesso de leitura ao registro de pacotes pretendido e à documentação do projeto upstream. Ter permissão para instalar não elimina a necessidade de identificar o que será instalado.

Passos

1. Parta das instruções de instalação documentadas pelo projeto upstream. Registre o nome exato do pacote, o registro, o intervalo de versões suportado e o link do repositório, em vez de confiar num nome plausível gerado a partir da descrição da funcionalidade.

2. Compare os metadados do registro com a referência upstream. Investigue diferenças de grafia, mantenedores sem relação com o projeto, mudanças inesperadas de titularidade ou um link de repositório que aponte para outra implementação.

3. Examine o grafo de dependências já existente no projeto e o runtime suportado. Verifique se a funcionalidade já existe localmente ou se adicionar a dependência traria uma versão incompatível ou uma abstração duplicada.

4. Prepare a alteração de dependências usando o fluxo de lock e de revisão do projeto. Antes de executar scripts do pacote, examine o comportamento de instalação aplicável e use para isso o ambiente autorizado.

5. Verifique, com o pacote instalado, o import resultante e a funcionalidade pretendida. Teste o procedimento de revisão com um nome deliberadamente inexistente e com um pacote não relacionado de nome parecido, sem instalar nenhum dos dois.

Resultado esperado

A proposta de dependência identifica um pacote upstream real e explica o seu papel no projeto. No relatório, o agente consegue separar a descoberta do pacote, a verificação de identidade, a instalação e a validação funcional.

Limites e base de verificação

Este é um método de verificação original; não se declara ter feito qualquer inspeção de registro nem instalação. Metadados oficiais coincidentes não provam que a dependência esteja livre de código malicioso ou vulnerável. A revisão adicional depende da política de risco e de manutenção do projeto.