Dependency Composer menjadi bagian penting dari hampir semua aplikasi Laravel. Laravel Vet hadir untuk membantu meninjau kode atau package Composer sebelum dependency tersebut dipasang. Ide dasarnya sederhana: pemeriksaan dilakukan lebih awal, ketika tim masih dapat membatalkan keputusan sebelum package masuk ke project.
Supply chain software semakin kompleks karena satu package dapat membawa dependency lain. Package yang terlihat populer juga tetap perlu diperiksa berdasarkan reputasi, aktivitas pemeliharaan, izin yang diminta, dan perubahan yang terjadi pada tiap versi.
Review sebelum install
Tool seperti Vet dapat menjadi pintu pertama dalam proses review. Hasilnya sebaiknya dipadukan dengan composer audit, lock file yang dikomit, review perubahan pada pull request, serta pipeline CI. Jangan mengandalkan satu pemeriksaan untuk menyimpulkan bahwa dependency sepenuhnya aman.
Tim juga perlu membedakan package produksi dan package untuk development. Dependency development tetap dapat memengaruhi pipeline, image build, atau mesin developer. Karena itu, akses token dan kredensial harus dibatasi ketika menjalankan script Composer.
Nilai Laravel Vet terletak pada timing: risiko lebih mudah ditangani sebelum kode dipakai oleh aplikasi. Kebiasaan meninjau dependency secara konsisten akan lebih kuat daripada pemeriksaan sekali-sekali setelah insiden.
Sumber: https://laravel-news.com/laravel-vet
Transparansi: Artikel ini disusun bersama Codekop AI berdasarkan sumber yang tercantum, kemudian ditinjau dan disunting oleh Fauzan Falah. AI dapat keliru, jadi silakan cek kembali sumber asli.
