Зависимость от пакета

В IT «зависимость» я слышу не как технический термин, а как медицинский. Как зависимость от препаратов. В бытовом смысле то же самое. Сел, и сам не вылезешь. Ты зависишь от технологии, которую сам не поддерживаешь. Не хватает контрибьюторов, виральная лицензия или проект вообще забросили.

От этого по возможности надо уходить. Именно поэтому мне нравится Go. Меньше внешнего, больше stdlib. Python богаче экосистемой, но каждая библиотека это чужой код и чужой риск.

Если мне надо затащить пакет в проект, захожу на GitHub и смотрю четыре вещи. Сколько контрибьюторов, сколько открытых issues, когда был последний коммит, какая лицензия. Если активность сопоставима с размером команды в компании, брать можно. Для пет-проекта это не самые значимые параметры. Если меньше, для продакшена три варианта. Выделить своих людей и контрибьютить в upstream, форкнуть и поддерживать внутри компании, или вообще не брать эту библиотеку.