NPM запретил отзывать без разрешения open-source модули старше 24 часов

Пакетный менеджер NPM на прошлой неделе стал причиной сумятицы ^[1] в связи с исчезновением маленького модуля left-pad ^[2], на который были установлены зависимости в Node, React, Babel и тысячах других пакетов. Чтобы не допустить такого в будущем, сейчас администрация NPM внесла изменения ^[3] в правила. По новым правилам, автоматический отзыв модуля возможен только в течение 24 часов после публикации на сервере NPM. После этого времени отзыв допускается только с разрешения администрации.

Проблемы на прошлой неделе возникли из-за того, что веб-разработчик Азер Кочулу (Azer Koçulu) отозвал более 250 своих модулей для Node.js, в том числе left-pad. Он сделал это в ответ на некрасивый поступок администрации NPM, которая отдала его модуль kik ^[4] под управление интернет-компании Kik ^[5] после обращения юриста этой компании.

Программист отозвал свои модули и обвинил NPM в том, что этот open-source проект превращается в частную фирму, владельцы которой строят бизнес, зарабатывают деньги и, соответственно, во всём угождают компаниям вроде Kik. Именно в этом он видит главную проблему NPM, а не в засилье микромодулей ^[6] с множеством зависимостей.

Азер Кочулу говорит ^[7], что абсолютно не сожалеет о своём поступке, а в долговременной перспективе сообщество «извлечёт пользу из опыта, который получило в прошлый вторник».

Администрация NPM, однако, решила проблему по-своему — и внедрила более жёсткий контроль. Теперь для отзыва модуля через 24 часа после публикации нужно отправить соответствующую просьбу на support@npmjs.com. Служба поддержки проверит, не ломает ли этот модуль какие-нибудь зависимости в других пакетах. Если ломает, то отзыв запрещают. В этом случае управление или отдадут другому разработчику, или постараются связаться с автором того пакета, где есть лишняя зависимость.

«На этой неделе мы видели много дискуссий о том, зачем вообще нужна функция unpublish. Такие обсуждения велись и у нас в компании NPM, Inc. — говорится ^[3] в корпоративном блоге. — Есть важные и правильные причины для её существования, так что у нас нет намерения её удалять, но сейчас мы значительно изменяем функциональность и правила работы unpublish».

NPM приносит сообществу Node.js извинения за события прошлой недели и надеется, что такое больше не повторится.

Автор: alizar

Источник ^[8]