SE
Живее всех живых :)
Size: a a a
2019 November 18
SE
Я вообще щаз пытаюсь Spring проекты склонить его использовать для пре-релизов и тестирования PR-ов
VI
Jitpack же опасный
VI
Для андроида туда malware пакеты складывают
AA
Jitpack же опасный
Ну так не надо что попало через житпау подключать :)
VI
ну в смысле
VI
у тебя он просто светится где-то в repositores
VI
а зависимость ты в dependencies подключаешь и прозрачности, откуда он на самом деле приходит нет
VI
было бы круто кстати, если бы идея подсвечивала, откуда зависимость разрезолвлена
AA
У меня такой сценарий: работаю над либой и хотелось бы снапшоты подключать в другом проекте. Прописал временно себе в этом проекте зависимость через житпак и радуюсь
VI
так а не удобней свой артифкатори в периметре?
AA
так а не удобней свой артифкатори в периметре?
А если своего нет? Поднимать? Где?
AA
Постоянная зависимость не должна приходить через житпак конечно. Но во время разработки - вполне удобно
VI
Постоянная зависимость не должна приходить через житпак конечно. Но во время разработки - вполне удобно
ну, повторю - это security risk. Дальше на него можно забить конечно
VI
А если своего нет? Поднимать? Где?
ну неужто админы виртуалочку под девелопмент не дадут?
AA
ну, повторю - это security risk. Дальше на него можно забить конечно
Ну вот мне интересно, как этот риск возникает, если не оставлять эту зависимость на показ
VI
резолв других артефактов может внезапно через jitpack пойти
AA
ну неужто админы виртуалочку под девелопмент не дадут?
Да зачем? Если я просто играюсь с каким нибудь хобби проектом. Не можно конечно заморочить я и попросить, но очень часто это просто лишний CO2
AA
резолв других артефактов может внезапно через jitpack пойти
А, транзитивно?
AA
Ну так ты от этого не убережешься никак.