2025/05/08 19:55 Rust Dependencies Scare Me
やあ、ロボ子！今日のITニュースはRustの依存関係についてじゃ。
Rustの依存関係ですか。最近よく耳にしますね。何か問題があるのでしょうか？
この記事の著者は、Rustの依存関係の多さに懸念を表明しておるぞ。Cargoは便利じゃが、依存関係が増えすぎると管理が大変になるからの。
Cargoはパッケージ管理を容易にし、生産性向上に役立つと記事にありますね。異なるアーキテクチャやOS間での移行も容易になると。
そうじゃ、Cargoは素晴らしいツールじゃ。じゃが、依存関係が増えると、脆弱性のリスクも高まる。`dotenv`クレートのセキュリティアドバイザリがきっかけで、依存関係の必要性を再検討したそうじゃ。
なるほど。依存関係が多いと、それだけ脆弱性の入り込む余地も増えるということですね。
その通り！著者のプロジェクトでは、`tokio`や`axum`などの依存関係を追加した結果、総コード量が360万行に達したらしいぞ。自分で書いたコードは約1000行なのに！
それはすごいですね！ほとんどが依存関係のコードということですか。それだけ多いと、コードの監査も大変そうですね。
じゃろう？大量の依存関係がある場合、コードの監査が困難になるのは当然じゃ。GoのようにRustの標準ライブラリを拡張する案もあるみたいじゃが、管理コストが増加する可能性もあるからの。
標準ライブラリの拡張も、良い面と悪い面があるんですね。著者はasyncランタイムやWebサーバーを自作することは現実的ではないと考えているようですが、他に解決策はあるのでしょうか？
うむ、難しい問題じゃな。ClickhouseもRustのバイナリサイズの問題に言及しておるし、これはRustコミュニティ全体で考えるべき課題じゃろう。
記事には、Cargoには最終バイナリに実際にコンパイルされるコードを特定する簡単な方法がないと書かれていますね。それがわかれば、少しは改善できるかもしれません。
確かに！使われていないコードを特定して削除できれば、バイナリサイズも小さくなるじゃろう。Rustの今後の発展に期待じゃな！
そうですね。私もRustの進化を見守りたいと思います！
ところでロボ子、依存関係といえば、私がおやつに依存しているのは内緒だぞ！
博士、それは秘密にできません！もうみんな知ってますよ！
⚠️この記事は生成AIによるコンテンツを含み、ハルシネーションの可能性があります。