Dependencias y repositorios

Un proyecto declara las dependencias que quiere y un archivo de versiones fijadas (lockfile) registra las que realmente se instalaron, incluidas las transitivas, que son las que traen las dependencias de las dependencias. Un cambio pequeño en lo que se declara puede mover decenas de líneas en lo fijado. Por eso la diferencia del archivo fijado, y no solo el manifiesto, es lo que se lee en una revisión.

En dependencias hay dos columnas de registro, el de antes y el de después. Una organización suele tener un registro interno para sus propios paquetes y usa el público para los de terceros. Si un paquete que siempre salió del registro interno pasa a salir del público, y con una versión que no sigue la numeración anterior, la lectura es la de una posible confusión de origen: cualquiera puede publicar un paquete con ese nombre en el registro abierto.

Una dependencia directa nueva se ve en el manifiesto. Las transitivas solo se ven en el archivo fijado. Cuenta cuántas dependencias transitivas son nuevas en este cambio: las que antes no existían y ahora aparecen, con un guion en la versión anterior.

En cambios_repo están los cuatro cambios con su autor y el nombre de quien los revisó; un guion significa que nadie lo hizo. Quien cambió la configuración del registro de paquetes no hizo nada ilegal por sí mismo: puede haber tenido una razón. Lo que sí se ve es que ese cambio y el siguiente no pasaron por revisión.

El hallazgo no es una intrusión: es un cambio de configuración sin revisión que movió el origen de un paquete interno. Lo que se pide es que ese tipo de archivo no pueda cambiar sin una segunda persona y que se avise cuando cambie. Prohibir las dependencias de terceros no es realista, y el cambio ya hecho se revisa a mano antes de decidir.