Handlebars.js: 4.x के लिए Node.js संस्करण की क्या आवश्यकता है?

@ErisDS अरे, मैं [email protected] के लिए नोड 6 की आवश्यकता होती है, इसलिए कुछ हैंडलबार उपयोगकर्ताओं (आपके इंजन क्षेत्र के आधार पर) के लिए ब्रेकिंग हो सकता है।

~ yargs@15 को Node.js 6 के लिए काम करना चाहिए (हमने अभी तक Node 8 को नहीं छोड़ा है)।~ मैं अपने संस्करणों को मिला रहा हूँ, यह Node 8 है जिसे मैं छोड़ने वाला हूँ।

हैंडलबार के लिए संस्करण समर्थन लक्ष्य क्या हैं, मैं यार्ग के थोड़े पुराने संस्करण को लक्षित करने के लिए आपके साथ काम कर सकता हूं (लेकिन 0.4 तक सभी तरह से समर्थन नहीं कर सकता)।

मैं इसे लोगों के लिए एक बड़ा बदलाव कहने के लिए ललचा सकता हूं।

वास्तव में ऐसे परीक्षण हैं जो इस मामले में विफल होने चाहिए थे, लेकिन भले ही मैं ट्रैविस लॉग में छिपे त्रुटि संदेशों को देख सकता हूं, फिर भी निर्माण विफल नहीं हुआ।

परीक्षण 0.10 से शुरू होने वाले नोड संस्करणों के साथ हैंडलबार्स सीएलआई का उपयोग करने का प्रयास करता है।

@ErisDS मैंने इसे आते नहीं देखा। क्या हम वापस लौटेंगे?

@nknapp @ErisDS मुझे लगता है कि यह लोगों के लिए काफी विघटनकारी हो सकता है यदि आप वापस नहीं करते हैं, तो क्या होगा यदि आप वापस लौट आए, और इसे इंजन अपडेट के साथ major बना दिया?

आप yargs@14 स्थापित कर सकते हैं जो असुरक्षित नहीं है, और नोड 6 पर वापस समर्थन करता है ... लेकिन नोड 6 और 8 दोनों ईओएल हैं, और अब पैच नहीं लेंगे। तो मैं आपके संस्करण समर्थन लक्ष्यों में कुछ विचार डालूंगा (0.4 आशावादी या यार्ग के पैच किए गए संस्करण द्वारा काम के अच्छे हिस्से के बिना लक्षित होने में सक्षम होने की संभावना नहीं है)।

@ErisDS मैंने #1669 में एकीकरण परीक्षण तय किया है। क्या आप समीक्षा करना चाहते हैं?

@dougwilson इसे हमारे ध्यान में लाने के लिए धन्यवाद ❤️ क्या आप बता सकते हैं कि आप Node v6 के खिलाफ कहाँ और क्यों चल रहे हैं ताकि हमें बेहतर समझ हो?

Me और @nknapp के बीच बातचीत हुई है और लगता है कि यह हैंडलबार्स की व्यापक नोड संगतता समाप्त होने का समय है क्योंकि पर्याप्त रखरखाव नहीं हैं और काफी स्पष्ट रूप से, मुझे संदेह है कि समर्थन की कोई आवश्यकता है <v6.

आज मैं जो करने जा रहा हूं, वह अभी के लिए न्यूनतम Node.js v6 होने के लिए संगतता को अद्यतन करना है।

मैं yargs को v14 में डाउनग्रेड कर दूंगा और परीक्षणों को ठीक करने के लिए @nknapp के परिवर्तनों को मर्ज कर

यह हमें एक कार्यशील संस्करण देना चाहिए जो नोड संस्करणों की एक समझदार लेकिन बहुत विस्तृत श्रृंखला का समर्थन करता है और इसमें न्यूनतम समस्या नहीं है।

हम थोड़ी देर के लिए v6 और v8 का समर्थन करेंगे और समुदाय से किसी भी प्रतिक्रिया के आधार पर आंतरिक रूप से उन लोगों को छोड़ने के लिए एक रणनीति और समयरेखा निर्धारित करेंगे जिनके साथ हम सहज हैं।

@bcoe हमारी ओर से कोई उम्मीद नहीं है कि आप yargs v14 पर हमारा समर्थन जारी रखने के लिए कोई अतिरिक्त काम करेंगे। हम वास्तव में, वास्तव में आज यहां उपस्थित होने, बातचीत में शामिल होने और यह स्पष्ट करने के लिए आपकी सराहना करते हैं कि यार्ग्स v14 काम करेगा और सुरक्षित है। यह बेहद मददगार रहा है ❤️

यहां भी आया क्योंकि हम नोड v6 पर समस्याओं का सामना कर रहे हैं .. हमारे विवरण:

कर्म-कवरेज@1.1.2
इस्तांबुल@0.4.5
हैंडलबार्स@4.7.4
[email protected]

आप जिस समाधान का प्रस्ताव कर रहे हैं उसके लिए धन्यवाद @ErisDS , जो हमारे लिए भी काम करना चाहिए!

यहां चर्चा किए गए परिवर्तन किए गए हैं और 4.7.5 में भेज दिए गए हैं। Node.js समर्थन अब 4.x के लिए v6+ पर सेट है, yargs को v14 पर पिन किया गया है।

क्या आप अभी भी उपयोग कर रहे हैं

इस परिवर्तन का विचार, सीधे v10+ पर जाने के बजाय यह है कि यह हमारे पास मौजूद बाधाओं के भीतर यथार्थवादी संगतता प्रदान करने के लिए पर्याप्त होना चाहिए।

मैं प्रमुख रिलीज न करने के निर्देश के तहत हूं, इसलिए यह है या असुरक्षित निर्भरता पर वापस जा रहा है जब तक कि किसी और के पास कोई उज्ज्वल विचार न हो।

@dougwilson मैं इसके प्रति बिल्कुल भी

आखिरकार, यह सभी नई सुरक्षा रिपोर्टिंग टूलिंग अच्छी है लेकिन यह निश्चित रूप से जबरदस्त है। मेरे द्वारा बनाए गए सॉफ़्टवेयर के हर टुकड़े में अब इसके खिलाफ कई झंडे हैं, बड़े पैमाने पर देव निर्भरताओं के लिए जो किसी को प्रभावित नहीं करते हैं। निर्भरताओं को स्वैप करने के लिए महीनों के काम की आवश्यकता है जैसे यहां किया गया था और मैं अविश्वसनीय रूप से आभारी था कि इस मामले में काम हमारे लिए किया गया था। तो मुझे लगता है हमारा दर्द उसी जगह से आ रहा है...

इस मॉड्यूल के साथ, हम एक चट्टान और एक कठिन जगह के बीच फंस गए हैं। क्या हम उन लोगों के पक्ष में हैं जिनके बिल्ड npm audit पर विफल हो रहे हैं या क्या हम उन लोगों के पक्ष में हैं जिनके बिल्ड विफल हो रहे हैं क्योंकि हमने (बहुत) पुराने सॉफ़्टवेयर के लिए कॉम्पेट को छोड़कर ऑडिट समस्या को ठीक कर दिया है?

साथ ही, आप जो कह रहे थे उससे मैं समझ गया था कि v6 समर्थन पर्याप्त होने वाला था। दोबारा, मुझे खेद है कि यह आपके मामले में पर्याप्त नहीं है। जैसा कि मैंने कहा कि मैं क्या करना है के लिए विचारों से बहुत बाहर हूं।

@ErisDS यहां आपकी कड़ी मेहनत के लिए धन्यवाद ❤️

मैं @dougwilson से सहमत 5.x रूप में जारी करना उचित है , एक स्पष्ट प्रतिबद्धता के साथ जो इंजन फ़ील्ड को अपडेट करता है ( इस तरह )।

समुदाय के लिए आप जो कड़ी मेहनत कर रहे हैं, उसकी वास्तव में सराहना करते हैं।

मैं यह भी स्पष्ट कर दूं कि मैंने यहां के धागे के आधार पर आज के बदलाव किए हैं, यह विश्वास करते हुए कि v6 बोलने वाले सभी लोगों के लिए पर्याप्त होगा। इसलिए मुझे थोड़ा दुख होता है कि अब मुझे असंवेदनशील कहा जा रहा है।

ईओएल से 2+ साल पहले के नोड के संस्करणों को छोड़ने के लिए एक बड़ी टक्कर की वकालत करना मुश्किल है। इसका मतलब यह नहीं है कि मैं इसकी सराहना नहीं करता यह परेशान करने वाला है और लोगों के लिए बहुत काम है, मैं करता हूं।

यह हो सकता है कि यार्ग को और डाउनग्रेड करना या एक अलग निर्भरता का पूरी तरह से उपयोग करना सभी समस्याओं का समाधान करेगा, लेकिन मेरे पास केवल परीक्षण + विलय + रिलीज की क्षमता है।

हालाँकि मुझे लगता है कि ऐसा कुछ करने में समय बिताना केवल वास्तविक काम को दूसरे दिन के लिए टालना है। यदि एक बदतर सुरक्षा भेद्यता साथ आती है, तो वही बात फिर से हो सकती है।

हमने इस पर चर्चा की है और सहमति व्यक्त की है कि हम सामान्य रूप से Node.js LTS और वर्तमान संस्करणों का समर्थन करना चाहते हैं और पुराने Node.js संस्करणों को छोड़ना एक ब्रेकिंग परिवर्तन नहीं माना जाना चाहिए।

मुझे लगता है कि इस मुद्दे को उठाना अच्छा था (लेकिन यह मैं नहीं था जिसे गलतफहमी के कारण अतिरिक्त काम मिला था, इसलिए मैं यहां केवल अपने लिए बात कर रहा हूं)। लेकिन यह विषय वैसे भी किसी समय आया होगा और कम से कम अब, इस बारे में हमारा एक सामान्य दृष्टिकोण है। इसे README में भी प्रलेखित किया जाएगा, जब #1671 का विलय किया जाएगा।

इसलिए, भले ही समाधान वह नहीं है जिसकी आप कामना करते हैं, लेकिन इससे कुछ अच्छा निकला है।

@dougwilson आपको इस मुद्दे को उठाने के लिए माफ़ी मांगने की ज़रूरत नहीं है!

जैसा कि @nknapp ने बताया, अगर आपने इसे नहीं उठाया होता, तो हम अपनी नीति को स्पष्ट नहीं करते। उम्मीद है कि नीति को स्पष्ट करने से आप जैसे भविष्य के व्यक्ति को कुछ निराशा से बचने में मदद मिलेगी।

गंभीरता से, अपने वास्तविक दुनिया के दर्द को सामने लाने और इसके माध्यम से काम करने में हमारी मदद करने के लिए बहुत-बहुत धन्यवाद।

मैं समर्थित Node.js रनटाइम को एक ब्रेकिंग परिवर्तन के अलावा कुछ भी बंपिंग के इलाज के खिलाफ अनुशंसा करता हूं। FWIW, Node.js ऐसा नहीं करता है।

बातचीत अब थोड़ी भ्रमित करने वाली है क्योंकि @dougwilson ने अपने संदेशों को हटा दिया है, लेकिन मैं यह भी जोड़ना चाहता हूं कि दोनों निर्भरता को minimist CVE के बिना एक संस्करण में टक्कर देने और नोड संस्करण समर्थन के संबंध में सेवर बनाए रखने में असमर्थता है इस पैकेज के साथ कोई समस्या नहीं है, यह minimist dep पर रिपोर्टिंग के साथ एक समस्या है। हमें उस सीवीई को हटाने के लिए संघर्ष करना चाहिए, जो कि एक महत्वपूर्ण निर्भरता की क्षमता को ठीक से सीवर का पालन करने की क्षमता को तोड़ने पर है।

संपादित करें: यहां मेरी राय स्पष्ट करने के लिए, मेरा मतलब है कि सीवीई पर रिपोर्ट करना बंद कर दें। यदि यह सिफारिश करके है कि डौग जैसे लोग अपनी परियोजनाओं में एक बहिष्कृत का उपयोग करते हैं, या यदि हम इसे एनपीएम ऑडिट परिणामों से हटा सकते हैं, तो आगे बढ़ें और इस प्रमुख लाइन में पुराने नोड संस्करण का समर्थन रखें। मैं इस बात से इनकार करने की कोशिश नहीं कर रहा हूं कि मुद्दों को पुस्तकालयों में पैच किया जाना चाहिए, बस यहां रिपोर्टिंग अच्छे से ज्यादा नुकसान पहुंचाती है।

इस मुद्दे पर पर्याप्त रूप से वजन करना थोड़ा असंभव है, लेकिन बातचीत से यह minimist असफलता से उपजे मुद्दों का एक संयोजन प्रतीत होगा और यह पता लगाना होगा कि कौन सा Node.js LTS संस्करण का समर्थन करना है?

ईमानदार होने के लिए, इस बिंदु पर, मुझे CVE के लिए minimist के पुनरीक्षण और निरस्त होने पर बहुत खुशी होगी। उस ने कहा, जैसा कि @mcollina अनुशंसा करता है, न्यूनतम समर्थित Node.js संस्करण को टक्कर देना हमेशा एक ब्रेकिंग सेवर-प्रमुख परिवर्तन होना चाहिए।

मिनिमिस्ट के लिए सीवीई बेहद विघटनकारी है। इसने मेरे द्वारा बनाए गए लगभग हर एक पैकेज को झंडी दिखा दी है (अब तक मेरी सबसे अच्छी जानकारी के लिए) उनमें से किसी में भी शोषक नहीं है।

ईमानदारी से कहूं तो, इस बिंदु पर, मुझे मिनिमिस्ट के सीवीई को संशोधित और निरस्त किए जाने पर बहुत खुशी होगी।

क्या यह एक वास्तविक संभावना है?

मुझे नहीं पता। यह देखने लायक है।

@isaacs या @darcyclarke , क्या हम यहां रजिस्ट्री रिपोर्टिंग पक्ष पर कुछ कर सकते हैं? यह मानते हुए कि वास्तविक सीवीई को रद्द करना एक विकल्प नहीं है (क्योंकि यह शायद मान्य है), क्या हम npm audit में इसकी रिपोर्ट करना बंद कर सकते हैं? इससे क्या तय किया जा सकता है, ऐसा लगता है कि इस पर ध्यान दिया गया है, लेकिन इस पर रिपोर्ट करना जारी रखने से सिर्फ अनावश्यक दर्द हो रहा है।

@wesleytodd हमारे पास "रिज़ॉल्यूशन" के बारे में "ओपन आरएफसी - डीप डाइव" कॉल आज दोपहर 2 बजे ईटी के लिए कतारबद्ध है। मुझे लगता है कि बातचीत हमारे लिए ऑडिट नोटिस को सहकर्मी / गैर-सूचीबद्ध विभागों को हल करने के व्यापक विषय का समर्थन करने के मौजूदा प्रस्ताव पर स्पर्श करेगी। मैं लोगों को कॉल में शामिल होने के लिए प्रोत्साहित करता हूं यदि उनकी दिलचस्पी है या बस बैठना चाहते हैं।

विशेष रूप से प्रश्न पर वापस चक्कर लगाते हुए, नहीं, मुझे नहीं लगता कि वैध सीवीई को रद्द करने के लिए हम रजिस्ट्री पक्ष पर कुछ भी करेंगे। दोबारा, मेरा मानना ​​​​है कि समुदाय के लिए एक तंत्र प्रदान करना बेहतर तरीका होगा - विशेष रूप से रखरखाव - अनावश्यक शोर के खिलाफ एक डिपो के उपयोग को अनदेखा/श्वेतसूची में रखने के लिए।

यह विशेष सीवीई, इस तथ्य के साथ संयुक्त है कि एमकेडीआरपी 0.5.1 के मिनिमिस्ट पर डिपो को एक अनपेक्षित संस्करण में पिन किया गया था, और यह कि एमकेडीआरपी इतना व्यापक रूप से उपयोग किया जाता है, वर्तमान npm audit fix क्षमताओं में एक कमी को उजागर करता है, जहां यह असमर्थ है समस्या को हल करने योग्य के रूप में ठीक से निदान करें। (इस मामले में, npm update mkdirp --depth=9999 मेरे द्वारा अब तक देखे गए सभी मामलों को ठीक कर देगा।)

अच्छी खबर यह है कि npm audit में npm v7 _will_ इसका ठीक से निदान करता है, और इस प्रकार npm v7 में npm audit fix इस वर्ग के मामलों में स्थिति को ठीक कर देगा।

इसका दूसरा पहलू यह है कि v6 में npm audit fix कुछ नेस्टेड मेटाडिपेंडेंसी मुद्दों को स्वचालित रूप से ठीक नहीं करता है जो package-lock.json या npm-shrinkwrap.json फ़ाइल में परिभाषित हैं, और मूल रूप से शीर्ष स्तर के डीपी को अनुचित रूप से दर्शाता है उन मेटाडेप्स को लोड करने के लिए ट्रिगर किया, भले ही उन्होंने एक संस्करण श्रेणी के साथ ऐसा किया हो जिसमें फिक्स शामिल हो। इसलिए, यह की तरह लग रहा nyc के एक कमजोर संस्करण के आधार पर के लिए गलत है minimist , भले ही यह कई स्तरों गहरी है, और पूरी तरह से upgradable।

एक बात जिस पर हम विचार कर रहे हैं, वह वास्तव में mkdirp 0.4.1 - 0.5.1 खिलाफ एक एडवाइजरी बना रही है, ताकि mkdirp के उपयोगकर्ता देख सकें कि वे अपडेट कर सकते हैं, लेकिन यह पूरी तरह से स्पष्ट नहीं है कि यह इस मुद्दे को संबोधित करेगा, और इस "मेटा-सलाहकार" को लागू करेगा। हमारी रजिस्ट्री के दायरे और निर्भरता ग्राफ की परस्पर संबद्धता को देखते हुए, सामान्य तौर पर यह मुश्किल और अत्यधिक समय लेने वाला दोनों हो सकता है। इसे और अधिक सुरुचिपूर्ण ढंग से संबोधित करने में सक्षम होने के लिए तकनीकी समाधान हैं, जिन्हें हम निकट भविष्य में तलाशेंगे, मुझे यकीन है।

चूंकि यह अब समाप्त हो रहा है, और इस पुस्तकालय में #1672 के माध्यम से तय किया गया है, यहां अधिक बातचीत को छोड़ना ठीक लगता है। भविष्य में उम्मीद है कि npm में परिवर्तन इसे किसी मुद्दे के रूप में दर्दनाक नहीं बनाने में मदद करेंगे!

@wesleytodd पूरी तरह से यहां बातचीत नहीं कर रहा है, लेकिन मैं अभी भी अनगिनत पैकेजों में न्यूनतम सीवीई से लड़ रहा हूं, और इसलिए यह जानने में दिलचस्पी होगी कि मैं इसके साथ क्या कर सकता हूं।