Drupal 8 n’inclura plus les dépendances de développement

L’équipe de développement du gestionnaire de contenus open source a annoncé hier que les paquetages des version stables ne seraient plus accompagnés des librairies de développement PHP.

C’est avant l’implémentation d’une bonne pratique sécuritaire qui a conduit l’équipe à prendre cette décision. En effet, la sécurité des codes de développement PHP ne peut être assurée, autant que leur stabilité en environnement de production.

Cette décision s’applique à quelques librairies optionnelles qui sont fournies avec Drupal 8 à fin de développement. Les librairies stables et nécessaires au bon fonctionnement du gestionnaire de contenus comme Twig et Symfony seront toujours intégrées aux livraisons. La branche 7 de Drupal ne sera d’ailleurs pas affectée par cette décision.

Mettre son site à jour

Dépendant du type d’installation, l’équipe conseille trois possibilités pour adopter cette bonne pratique :

• Si Drupal est installé avec les paquetages de la version stable fournis par Drupal.org, il suffira de se mettre à jour sur la prochaine livraison (8.2.3) dès que possible. En suivant toutes les instructions de mises à jour, comprenant la suppression des fichiers annexes, les librairies de développement ne seront plus incluses et aucune autre action ne sera nécessaire.
• Si vous utilisez une image de développement sur votre site de production (par exemple 8.2.x-dev) vous pouvez de préférence vous mettre à jour sur une version stable ou manuellement retirer les dépendances. L’équipe rappelle à cette occasion que les images fournies pour le développement ne sont pas supportées dans des configurations de sites en production.
• Si vous installez Drupal via Composer, il faudra mettre à jour le flux de travail pour s’assurer que le suffixe –no-dev est bien spécifié pour les sites en production.

Développement et flux d’intégration continue

Si vous utilisez un processus d’intégration continue ou un site de développement qui utilisent les dépendances visées, votre processus de développement peut-être impacté par les changements opérés. Notamment, si vous avez installé une version stable via Drupal.org et que vos développements nécessitent les dépendances, trois options sont possibles :

• Installer Composer et exécuter : 

<span><span>composer install </span><span>--</span><span>dev</span></span>

• utiliser une image de développement en lieu et place d’une livraison stable pour la production
• Installer manuellement les dépendances

Source : www.drupal.org