اجرای دوباره برنامه با آخرین نسخه وابستگی می‌تواند رفتار متفاوتی ایجاد کند، حتی اگر کد خودتان تغییر نکرده باشد. نسخه SDK و وابستگی‌ها را قابل بازسازی نگه دارید و ارتقا را با آزمون قرارداد انجام دهید. ثابت‌کردن نسخه به معنی متوقف‌کردن همیشگی به‌روزرسانی امنیتی نیست.
روش اجرا و تصمیم‌گیری
نسخه مستقیم و وابستگی‌های حل‌شده را در فایل قفل یا روش معادل ثبت کنید. همچنین نسخه محیط اجرا و تنظیمات مهم را بنویسید. نام مدل در سرور بیرونی ممکن است مستقل از SDK تغییر کند؛ این دو را در گزارش جدا نگه دارید تا علت تفاوت قابل بررسی باشد.
برای ارتقا، یادداشت تغییر و هشدارهای امنیتی رسمی را بخوانید. معنای major و minor و patch طبق Semantic Versioning مفید است، اما همه بسته‌ها همیشه دقیقاً از آن پیروی نمی‌کنند. سازگاری را فقط از کوچک بودن شماره تغییر نتیجه نگیرید.
مجموعه آزمون شامل پاسخ موفق، خطای مجوز، محدودیت نرخ، خروجی ناقص و لغو باشد. قرارداد شکل داده و رفتار خطا را با نمونه‌های کنترل‌شده بسنجید. پس از موفقیت، مرحله محدود و برنامه بازگشت داشته باشید؛ تعویض وابستگی روی همه کاربرها بدون شاهد، ریسک پنهان می‌سازد.
نمونهٔ ساختگی و قابل تکرار
در مثال ساختگی، نسخه تازه SDK محل کد خطا را در شیء پاسخ تغییر داده است. متن موفق همچنان درست می‌آید، اما برنامه خطای سهمیه را نمی‌شناسد و retry بی‌جا می‌کند. آزمونی که فقط پاسخ موفق داشته باشد این مشکل را نمی‌بیند. تست قرارداد انتظار دارد کد خطا به وضعیت داخلی مشخص نگاشت شود. پس از اصلاح نگاشت و بازآزمایی، نسخه تازه برای تصمیم انتشار آماده می‌شود؛ صرف نصب موفق کتابخانه، تأیید سازگاری نیست.
محدودیت‌ها و خطاهای رایج
فایل قفل منشأ امن بسته را تضمین نمی‌کند و بررسی زنجیره تأمین جدا لازم است. ماندن روی نسخه آسیب‌پذیر نیز خطر دارد. سیاست ارتقا باید هم بازسازی‌پذیری و هم دریافت اصلاح‌های لازم را با مسئول و موعد روشن پوشش دهد.
کنترل پیش از استفاده
| کنترل | معیار پذیرش |
|---|---|
| بازسازی | نسخه دقیق محیط و وابستگی قابل نصب دوباره باشد. |
| قرارداد | شکل داده و رفتار خطا روی نسخه تازه آزمون شوند. |
| بازگشت | روش برگشت و اثر آن بر داده و تنظیمات روشن باشد. |
کاربرگ همراه
فایل همراه دفتر ارتقاست. نسخه نامزد را بعد از دیدن خروجی با عبارت آخرین جایگزین نکنید؛ شماره دقیق لازم است. برای هر شکست، شناسه مورد آزمون و تفاوت مشاهده‌شده را ثبت کنید تا تصمیم قابل بازبینی بماند.
دریافت کاربرگ CSV این راهنما — داده‌های داخل فایل نمونهٔ ساختگی‌اند. نسخهٔ اصلی را نگه دارید و برای آزمون خودتان یک کپی بسازید.
منبع و ادامهٔ کار
Semantic Versioning 2.0.0؛ OWASP: زنجیره تأمین مدل. تاریخ بررسی منابع: ۱ نوامبر ۲۰۲۶.
اگر کاربرد شما پاسخ‌گویی به مشتری است، مسیر مرتبط اپرا را ببینید و مسئله و محدودیت‌های همین کاربرگ را برای بررسی در دمو همراه داشته باشید.