yarn

npm에 이어 이번엔 yarn에 대해 살펴보자.

yarn?

yarn은 페이스북에서 개발한 node.js 패키지 매니저이다. 기본적으로 npm과 같은 역할을 수행하지만, npm의 단점을 보완하여 만들어진 패키지 매니저다.

먼저, npm은 패키지가 많아짐에 따라 설치/빌드 속도가 저하되고, node_modules의 복잡한 의존성 트리를 가지게 된다는 단점을 가지고 있다.

yarn은 모든 패키지를 아래 경로의 유저 디렉토리에 캐싱한다. 또한, 순차적으로 설치를 진행하는 npm과 달리 병렬적으로 설치를 진행한다.

yarn cache dir $HOME/Library/Caches/Yarn/

따라서 최초 설치는 npm과 근소하거나 우위를 가지지만, 이후 설치부터는 확연하게 빠른 설치 속도를 자랑한다.

이번엔 보안성 측면을 살펴보자.

npm은 패키지를 설치할 때 의존성과 함께 코드를 자동으로 실행한다. 즉, 악성 코드가 포함된 패키지가 다른 패키지에 의존하고 있다면, 해당 의존성을 설치하는 과정에서 악성 코드가 실행될 위험이 있는 것이다. 반면, yarn은 yarn.lock 파일을 확인하여 기존에 설치된 패키지와 동일한 파일인지 검증한 뒤 설치를 진행하기 때문에, 이러한 위험을 효과적으로 줄일 수 있다.

이러한 점을 보완했음에도 불구하고 여전히 남아있는 단점이 있는데 바로 유령 의존성이다.

유령 의존성이란, 직접적으로 선언하지 않았지만 의존성 트리의 다른 패키지가 가져오는 간접 의존성으로 인해 설치되는 의존성을 말한다. 쉽게 말해, 내가 설치하지 않았지만, 다른 패키지가 필요로 해서 설치되는 의존성이다.

유령 의존성을 내가 사용하는 패키지의 특정 코드에 사용된다는 이유 하나만으로 설치되기 때문에 속도 저하와 보완 취약점이 발생할수 있다. 이 점을 해결하기 위해 나온것이 바로 yarn berry다.

yarn berry

yarn berry는 위에서 말한 문제를 Plug'nPlay를 사용해 해결한다. Plug'n'Play는 패키지들을 node_modules에 설치하지 않고 .yarn/cache에 Zip 아카이브로 저장하고, .pnp.cjs를 통해 로드하는 방식이다.

["react", [
  ["npm:17.0.1", {
    "packageLocation": "./.yarn/cache/react-npm-17.0.1-98658812fc-a76d86ec97.zip/node_modules/react/",
    "packageDependencies": [
      ["loose-envify", "npm:1.4.0"],
      ["object-assign", "npm:4.1.1"]
    ],
  }]
]],

위 예시처럼 .pnp.cjs 파일에는 패키지 위치, 의존성의 목록이 작성되어, 해당 패키지의 정보를 빠르게 확인할 수 있다.

이를 통해 기존 node_modules 트리를 순회하며 의존성을 찾는 과정에서 벗어나고, 각각의 의존성 패키지가 zip으로 관리되면서 트리 복잡성을 해결했다. 또한, .yarn 폴더 자체를 원격 저장소에 업로드하는 방식을 사용하게 됨으로써 낮은 크기와 빠른 설치속도를 자랑한다.