이 질문 뒤에 면접관이 확인하려는 것은 따로 있습니다.
팀 프로젝트를 유지하면서 의존성 관리가 생각보다 복잡한 문제라는 걸 경험했습니다. 처음에는 패키지를 최신 버전으로 유지하는 게 좋다고 생각했는데, 전이 의존성(패키지가 패키지를 쓰는 연쇄 구조) 때문에 버전 충돌이 예상치 못한 곳에서 생기는 걸 경험했습니다.
lock 파일로 의존성을 고정하면 같은 팀원이 같은 버전을 쓰게 돼서 '내 환경에서는 되는데' 문제가 줄었습니다. 보안 측면에서는 오래된 패키지에서 CVE가 발견되는 경우가 있어서, 의존성 감사 도구를 CI에 연결하는 방식을 배웠습니다. 불필요한 의존성을 정리할 때는 직접 참조하지 않는 패키지가 전이 의존성으로만 들어온 경우를 먼저 확인했습니다.
의존성은 코드를 간소화하지만 동시에 외부 변화에 취약해지는 자리라는 걸 유지보수 경험에서 배웠습니다.
의존성 관리를 일회성 작업으로 끝내면 시간이 지나면서 구멍이 생긴다는 것을 경험했습니다. 처음에 lock 파일로 버전을 고정해두고 한동안 신경을 안 썼더니, 오래된 패키지에서 보안 취약점이 발견됐다는 알림을 늦게 받는 경우가 있었습니다. 자동으로 취약점이 발견되면 알림이 오고 패치 버전 업데이트를 PR로 제안하는 도구를 CI에 연결하니, 사람이 주기적으로 확인하지 않아도 새로운 취약점을 빠르게 파악할 수 있었습니다. 라이선스 문제도 의식하게 됐는데, 새 패키지를 추가할 때 그 패키지가 어느 라이선스인지 확인하지 않으면 소스 공개 의무가 생기는 라이선스가 섞여 들어올 수 있습니다. CI에서 라이선스 정책을 자동으로 검사하는 단계를 추가하니 허용되지 않은 라이선스의 패키지가 빌드를 막는 구조가 됐습니다. 의존성 관리는 추가할 때 한 번이 아니라 지속적으로 감시하는 체계를 갖춰야 한다는 것을 이 경험에서 배웠습니다.
의존성을 추가할 때 직접 쓰는 패키지만 보면 전이 의존성에서 충돌이 생기는 경우가 있다는 것을 경험했습니다. 패키지 A를 추가했더니 패키지 A가 의존하는 패키지 C의 버전이 이미 프로젝트에 있는 패키지 B가 요구하는 버전과 달라 충돌이 생겼습니다. 어느 패키지가 어떤 버전을 요구하는지 의존성 트리를 시각화하니 충돌 지점을 파악할 수 있었습니다. 시맨틱 버전에서 Major 업그레이드가 하위 호환을 깨는 변경을 의미한다는 것을 모르고 lock 파일 없이 최신 버전을 자동으로 받다가, 어느 날 빌드가 깨지는 상황을 경험했습니다. lock 파일을 쓴 이후로는 같은 팀원이 같은 버전으로 빌드되는 것이 보장됐고, 버전을 올릴 때는 의도적으로 선택하는 방식이 됐습니다. 의존성은 외부 코드를 신뢰하는 행위이기 때문에, 무엇을 어떤 버전으로 쓰는지 명시적으로 관리하는 것이 중요하다는 것을 이 경험에서 배웠습니다.
답변에서 흔히 빠지는 것들 — 빠져 있으면 꼬리질문이 깊어집니다.
이 질문에 이어 이스트소프트 보안 엔지니어 면접관이 던질 가능성이 높은 후속 질문.
이 페이지의 질문·답변·꼬리질문은 유사 직군 채용 시장의 공개된 면접 후기·커뮤니티 게시물을 분석해 구성한 학습 자료입니다. 특정 회사가 실제로 이 질문을 출제했다는 것을 보장하지 않으며, 모든 예시는 우문현답이 직접 작성한 창작물입니다. 해당 회사의 공식 입장과는 무관합니다. 회사 측의 정정 요청이 있을 경우 24시간 이내에 응답·수정합니다.