如何合理添加Dependency

“合理添加 Dependency（依赖）”通常指在项目里引入第三方库或模块时，既能满足功能需求，又不引入不必要的复杂度、安全风险或维护负担。下面从原则 → 流程 → 常见场景 → 反模式四个层面说明。

一、核心原则（先想清楚再加）

1. 是否真的需要

   • 能否用标准库 / 语言原生能力实现？
   • 现有依赖是否已经提供了类似功能？

2. 最小化依赖

   • 只引入真正用到的模块
   • 避免“为了一个小功能引入一个大框架”

3. 可信与可维护

   • 作者 / 组织是否可信
   • 是否活跃维护（最近提交、Issue 响应）
   • 是否被广泛使用（下载量、社区）

4. 安全可控

   • 检查已知漏洞（如 npm audit、pip-audit、OWASP）
   • 避免引入“未锁定版本”的危险依赖

二、合理添加依赖的标准流程

1. 明确需求

“我要解决什么问题？”

例如：

• 需要 HTTP 请求 → requests / axios
• 需要日期处理 → dayjs（轻量）而非 moment（偏重）

2. 做技术选型对比

至少对比 2–3 个方案：

• 体积
• API 易用性
• 维护状态
• 与当前技术栈兼容性

3. 精确声明版本

✅ 推荐：

"lodash": "^4.17.21"

或（更严格）：

"lodash": "4.17.21"

❌ 避免：

"lodash": "*"

4. 安装并验证

• 本地运行测试
• 确认打包体积 / 启动时间无显著恶化

5. 记录依赖用途（重要）

在 README 或 docs/dependencies.md 中说明：

- axios: 用于后端 API 请求
- zod: 用于运行时数据校验

三、不同语言/生态的注意点

JavaScript / Node

• 区分 dependencies 与 devDependencies
• 使用 npm dedupe 减少重复
• 慎用 babel 全家桶

Python

• 使用 requirements.txt 或 pyproject.toml
• 虚拟环境隔离（venv / poetry）
• 避免全局安装

Java

• Maven / Gradle 管理
• 注意 scope（compile / test / runtime）
• 避免依赖冲突（dependency tree）

四、常见反模式（要避免）

❌ 为了“以后可能用到”提前加
❌ 复制别人项目的依赖清单
❌ 用大框架解决小问题
❌ 长期不更新依赖（技术债）
❌ 忽略 LICENSE（合规风险）

五、简单判断口诀

能不引就不引，引了就要管，管就要锁版本。

如果你愿意，可以告诉我：

• 使用的语言 / 框架
• 想加的具体依赖或功能

我可以帮你判断是否“值得加”。