Kotlinプロジェクトを”再現可能”に保つ: Gradleのlockfileと応用例の紹介

After.kt 2025 #2 発表資料

Transcript

1. Kotlinプロジェクトを”再現可能”に保つ: Gradleのlockfileと応用例の紹介 2025.11.12 After.kt 2025 #2 LM Server Dev1 / Ono Akito (@omelette_alpaca) © LINE Digital Frontier Corporation
2. 01. Introduction 1.1 About LINE Digital Frontier [PR] 1.2 About Me 02. Lockfileの背景 2.1 About Pain 2.2 Example Agenda 2.3 Direct & Root Cause 03. Gradle lockfileについて 3.1 Lockfile Adoption Rate 3.2 About Gradle Lockfile 04. Lockfileの処理について 4.1 Gradle Process 4.2 Detail 05. Gradle lockfileの実践 5.1 Problem: Multi-Project 5.2 Solution: Multi-Project 5.3 Problem: Lockfile Management 5.4. Solution: Lockfile Management 06. Lockfileの応用例1: SBOM管理 6.1 What is SBOM ? 6.2 Why SBOM ? 6.3 How SBOM ? 6.4 Lockfile x Trivy 07. Lockfileの応用例2: 脆弱性スキャン 7.1 What is Security Scan ? 7.2 How Security Scan ? 7.3 Lockfile x OSV-Scanner 08. Lockfileの応用例3: 自動更新 8.1 About Auto Update 8.2 How Auto Update 8.3 About Renovate 8.4 Lockfile x Renovate 09. Conclusion 9.1 Summary
3. 01. Introduction 1.1 About LINE Digital Frontier [PR] 1.2 About Me 02. Lockfileの背景 2.1 About Pain 2.2 Example Agenda 2.3 Direct & Root Cause 03. Gradle lockfileについて 3.1 Lockfile Adoption Rate 3.2 About Gradle Lockfile 04. Lockfileの処理について 4.1 Gradle Process 4.2 Detail 05. Gradle lockfileの実践 5.1 Problem: Multi-Project 5.2 Solution: Multi-Project 5.3 Problem: Lockfile Management 5.4. Solution: Lockfile Management 06. Lockfileの応用例1: SBOM管理 6.1 What is SBOM ? 6.2 Why SBOM ? 6.3 How SBOM ? 6.4 Lockfile x Trivy 07. Lockfileの応用例2: 脆弱性スキャン 7.1 What is Security Scan ? 7.2 How Security Scan ? 7.3 Lockfile x OSV-Scanner 08. Lockfileの応用例3: 自動更新 8.1 About Auto Update 8.2 How Auto Update 8.3 About Renovate 8.4 Lockfile x Renovate 09. Conclusion 9.1 Summary
4. PR
5. • 電子コミックサービス「LINEマンガ」の開発運営 • 累計 5500 万DLを突破 • 2025年第1四半期&第2四半期のアプリ収益ランキング1位 • **Server-side Kotlin**を採用 About LINE Digital Frontier [PR]
6. PR fin.
7. 1. Introduction
8. • Ono Akito • LINE Digital Frontier • LINEマンガのバックエンド開発を担当 About Me
9. 01. Introduction 1.1 About LINE Digital Frontier [PR] 1.2 About Me 02. Lockfileの背景 2.1 About Pain 2.2 Example Agenda 2.3 Direct & Root Cause 03. Gradle lockfileについて 3.1 Lockfile Adoption Rate 3.2 About Gradle Lockfile 04. Lockfileの処理について 4.1 Gradle Process 4.2 Detail 05. Gradle lockfileの実践 5.1 Problem: Multi-Project 5.2 Solution: Multi-Project 5.3 Problem: Lockfile Management 5.4. Solution: Lockfile Management 06. Lockfileの応用例1: SBOM管理 6.1 What is SBOM ? 6.2 Why SBOM ? 6.3 How SBOM ? 6.4 Lockfile x Trivy 07. Lockfileの応用例2: 脆弱性スキャン 7.1 What is Security Scan ? 7.2 How Security Scan ? 7.3 Lockfile x OSV-Scanner 08. Lockfileの応用例3: 自動更新 8.1 About Auto Update 8.2 How Auto Update 8.3 About Renovate 8.4 Lockfile x Renovate 09. Conclusion 9.1 Summary
10. 2. Lockfileの背景
11. Kotlinのビルドって(たまに)辛い
12. While… • Kotlin は良い言語 • JVM資産は膨大で大抵のことは困らない • 歴史に裏打ちされた安定性
13. でもやっぱり(たまに)つらい
14. My Experience ElasticsearchのClientがテストコード限定でエラー
15. Direct Cause • 原因はLuceneの依存バージョンのコンフリクト • テスト実行のみのため調査が長引いた
16. Root Cause “依存管理”
17. 01. Introduction 1.1 About LINE Digital Frontier [PR] 1.2 About Me 02. Lockfileの背景 2.1 About Pain 2.2 Example Agenda 2.3 Direct & Root Cause 05. Gradle lockfileの実践 5.1 Problem: Multi-Project 5.2 Solution: Multi-Project 5.3 Problem: Lockfile Management 5.4. Solution: Lockfile Management 06. Lockfileの応用例1: SBOM管理 6.1 What is SBOM ? 6.2 Why SBOM ? 6.3 How SBOM ? 6.4 Lockfile x Trivy 07. Lockfileの応用例2: 脆弱性スキャン 7.1 What is Security Scan ? 7.2 How Security Scan ? 7.3 Lockfile x OSV-Scanner 08. Lockfileの応用例3: 自動更新 8.1 About Auto Update 8.2 How Auto Update 8.3 About Renovate 8.4 Lockfile x Renovate 09. Conclusion 9.1 Summary 03. Gradle lockfileについて 3.1 Lockfile Adoption Rate 3.2 About Gradle Lockfile 04. Lockfileの処理について 4.1 Gradle Process 4.2 Detail
18. 3. Gradleのlockfileについて
19. Gradleにlockfileがあるってご存知ですか？
20. [1]: 出典: 「開発者の99.7%に対しGradleは0.9%ロックファイル利用…パッケージマネージャー7種の設計比較」 https://blog.vonxai.co.jp/post/design-space-lockfiles-package-managers/ Gradle lockfileの利用率は **0.9** % [1]
21. [1]: 出典: 「開発者の99.7%に対しGradleは0.9%ロックファイル利用…パッケージマネージャー7種の設計比較」 https://blog.vonxai.co.jp/post/design-space-lockfiles-package-managers/
22. Why not Used? (imo) • デフォルトで有効ではない • BOM文化
23. About Gradle lockfile (1) • Dependency Locking • (ex. “go.sum” , “package-lock.json”) • Gradle公式の機能 • Gradle 5.0 (2018年) から存在
24. About Gradle lockfile (2)
25. About Gradle lockfile (3)
26. About Gradle lockfile (4) From: https://github.com/flutter/flutter/blob/2981516/dev/integration_tests/android_views/android/buildscript-gradle.lockfile
27. 01. Introduction 1.1 About LINE Digital Frontier [PR] 1.2 About Me 02. Lockfileの背景 2.1 About Pain 2.2 Example Agenda 2.3 Direct & Root Cause 03. Gradle lockfileについて 3.1 Lockfile Adoption Rate 3.2 About Gradle Lockfile 04. Lockfileの処理について 4.1 Gradle Process 4.2 Detail 05. Gradle lockfileの実践 5.1 Problem: Multi-Project 5.2 Solution: Multi-Project 5.3 Problem: Lockfile Management 5.4. Solution: Lockfile Management 06. Lockfileの応用例1: SBOM管理 6.1 What is SBOM ? 6.2 Why SBOM ? 6.3 How SBOM ? 6.4 Lockfile x Trivy 07. Lockfileの応用例2: 脆弱性スキャン 7.1 What is Security Scan ? 7.2 How Security Scan ? 7.3 Lockfile x OSV-Scanner 08. Lockfileの応用例3: 自動更新 8.1 About Auto Update 8.2 How Auto Update 8.3 About Renovate 8.4 Lockfile x Renovate 09. Conclusion 9.1 Summary
28. 4. Lockfileの処理について
29. Lockfile Process • Lockfileの生成は主に2フェーズ • “収集”フェーズと”確定”フェーズ
30. Gradle Process
31. Gradle Process with lockfile
32. Locking Detail
33. Real Code (1) From: https://github.com/gradle/gradle/blob/v9.2.0/platforms/software/dependency- management/src/main/java/org/gradle/internal/locking/DefaultDependencyLockingProvider.java#L193-L208
34. Real Code (2) From: https://github.com/gradle/gradle/blob/v9.2.0/platforms/software/dependency- management/src/main/java/org/gradle/internal/locking/DefaultDependencyLockingProvider.java#L210-215
35. 01. Introduction 1.1 About LINE Digital Frontier [PR] 1.2 About Me 02. Lockfileの背景 2.1 About Pain 2.2 Example Agenda 2.3 Direct & Root Cause 03. Gradle lockfileについて 3.1 Lockfile Adoption Rate 3.2 About Gradle Lockfile 04. Lockfileの処理について 4.1 Gradle Process 4.2 Detail 05. Gradle lockfileの実践 5.1 Problem: Multi-Project 5.2 Solution: Multi-Project 5.3 Problem: Lockfile Management 5.4. Solution: Lockfile Management 06. Lockfileの応用例1: SBOM管理 6.1 What is SBOM ? 6.2 Why SBOM ? 6.3 How SBOM ? 6.4 Lockfile x Trivy 07. Lockfileの応用例2: 脆弱性スキャン 7.1 What is Security Scan ? 7.2 How Security Scan ? 7.3 Lockfile x OSV-Scanner 08. Lockfileの応用例3: 自動更新 8.1 About Auto Update 8.2 How Auto Update 8.3 About Renovate 8.4 Lockfile x Renovate 09. Conclusion 9.1 Summary
36. 5. Gradle lockfileの実践
37. Problem 1: Multi Project • Lockコマンド(--write-locks) はmulti projectに非対応 • 何らかの手段で再帰的に実行する必要がある
38. Solution: Multi Project • 専用の独自のTaskを定義
39. Problem 2: Lockfile Management • 依存を追加する際にlockfileを更新しないとエラー • 運用&認知コストは可能な限り減らしたい
40. Solution: Lockfile Management • CI (GitHub Actions)で自動的に確認する
41. 01. Introduction 1.1 About LINE Digital Frontier [PR] 1.2 About Me 02. Lockfileの背景 2.1 About Pain 2.2 Example Agenda 2.3 Direct & Root Cause 03. Gradle lockfileについて 3.1 Lockfile Adoption Rate 3.2 About Gradle Lockfile 04. Lockfileの処理について 4.1 Gradle Process 4.2 Detail 05. Gradle lockfileの実践 5.1 Problem: Multi-Project 5.2 Solution: Multi-Project 5.3 Problem: Lockfile Management 5.4. Solution: Lockfile Management 06. Lockfileの応用例1: SBOM管理 6.1 What is SBOM ? 6.2 Why SBOM ? 6.3 How SBOM ? 6.4 Lockfile x Trivy 07. Lockfileの応用例2: 脆弱性スキャン 7.1 What is Security Scan ? 7.2 How Security Scan ? 7.3 Lockfile x OSV-Scanner 08. Lockfileの応用例3: 自動更新 8.1 About Auto Update 8.2 How Auto Update 8.3 About Renovate 8.4 Lockfile x Renovate 09. Conclusion 9.1 Summary
42. 6. Lockfileの応用例1: “SBOM管理”
43. What is SBOM ? • SBOM (Software Bill of Materials) = ソフトウェア部品表 • SPDX, CycloneDXなどのフォーマットがある • Kotlinプロジェクトでは依存ライブラリの一覧 [1]: 出典: 「SBOM 導入・運用の手引き」 https://www.ipa.go.jp/jinzai/ics/core_human_resource/final_project/2024/sbom.html
44. Why SBOM ? • 主にセキュリティ/ ライセンス管理 • 現代のソフトウェアの複雑化 • 高度化するサプライチェーン攻撃
45. How SBOM ? • Trivy (aquasecurity/trivy) とlockfileを利用する
46. About Trivy • TrivyはOSSのセキュリティスキャナ • Gradleの**lockfileをSBOMに変換**できる
47. Lockfile x Trivy (1) • 最小のgradle.lockfileを用意
48. Lockfile x Trivy (2) • TrivyでSBOM(SPDX)への変換を実行 • (センシティブな場合はオフラインモードで)
49. Lockfile x Trivy (3) • 実行結果
50. Lockfile x Trivy (4) • CIでRelease Assetへのアップロードまで自動化
51. Lockfile x Trivy (5) • あくまでもlockfileベースなので厳密ではないケースがある • 別途ソリューションが必要なケースも • とはいえある程度は網羅できる
52. 01. Introduction 1.1 About LINE Digital Frontier [PR] 1.2 About Me 02. Lockfileの背景 2.1 About Pain 2.2 Example Agenda 2.3 Direct & Root Cause 03. Gradle lockfileについて 3.1 Lockfile Adoption Rate 3.2 About Gradle Lockfile 04. Lockfileの処理について 4.1 Gradle Process 4.2 Detail 05. Gradle lockfileの実践 5.1 Problem: Multi-Project 5.2 Solution: Multi-Project 5.3 Problem: Lockfile Management 5.4. Solution: Lockfile Management 06. Lockfileの応用例1: SBOM管理 6.1 What is SBOM ? 6.2 Why SBOM ? 6.3 How SBOM ? 6.4 Lockfile x Trivy 07. Lockfileの応用例2: 脆弱性スキャン 7.1 What is Security Scan ? 7.2 How Security Scan ? 7.3 Lockfile x OSV-Scanner 08. Lockfileの応用例3: 自動更新 8.1 About Auto Update 8.2 How Auto Update 8.3 About Renovate 8.4 Lockfile x Renovate 09. Conclusion 9.1 Summary
53. 7. Lockfileの応用例2: “脆弱性スキャン”
54. What is Vulnerability Scan ? • 脆弱性のあるライブラリが含まれていないか確認 • Ex. log4j-coreの2.14.0 -> CVE-2021-44832
55. How Security Scan? • OSV-Scanner (google/osv-scanner) と lockfileを利用
56. About OSV-Scanner • Google製のOSSの脆弱性スキャナ • OSVという脆弱性DBを使用 • Gradle lockfileのスキャンに対応
57. Lockfile x OSV-Scanner (1) • 最小のgradle.lockfileを用意
58. Lockfile x OSV-Scanner (2) • OSV-Scannerでlockfileをスキャン • (センシティブな場合はオフラインモードで)
59. Lockfile x OSV-Scanner (3) • 実行結果
60. Lockfile x OSV-Scanner (4) • CIでRelease Assetへのアップロードまで自動化
61. 01. Introduction 1.1 About LINE Digital Frontier [PR] 1.2 About Me 02. Lockfileの背景 2.1 About Pain 2.2 Example Agenda 2.3 Direct & Root Cause 03. Gradle lockfileについて 3.1 Lockfile Adoption Rate 3.2 About Gradle Lockfile 04. Lockfileの処理について 4.1 Gradle Process 4.2 Detail 05. Gradle lockfileの実践 5.1 Problem: Multi-Project 5.2 Solution: Multi-Project 5.3 Problem: Lockfile Management 5.4. Solution: Lockfile Management 06. Lockfileの応用例1: SBOM管理 6.1 What is SBOM ? 6.2 Why SBOM ? 6.3 How SBOM ? 6.4 Lockfile x Trivy 07. Lockfileの応用例2: 脆弱性スキャン 7.1 What is Security Scan ? 7.2 How Security Scan ? 7.3 Lockfile x OSV-Scanner 08. Lockfileの応用例3: 自動更新 8.1 About Auto Update 8.2 How Auto Update 8.3 About Renovate 8.4 Lockfile x Renovate 09. Conclusion 9.1 Summary
62. 8. Lockfileの応用例3: “ライブラリの自動更新”
63. About Auto Update • 依存ライブラリを定期的にアップデートしたい
64. How Auto Update? • Renovateとlockfileを利用
65. About Renovate • OSSの依存ライブラリの自動更新ツール • GitHub App / Self-Hosted • 類似のDependabotもありますがmulti projectが微妙
66. Lockfile x Renovate (1)
67. Lockfile x Renovate (2)
68. 01. Introduction 1.1 About LINE Digital Frontier [PR] 1.2 About Me 02. Lockfileの背景 2.1 About Pain 2.2 Example Agenda 2.3 Direct & Root Cause 03. Gradle lockfileについて 3.1 Lockfile Adoption Rate 3.2 About Gradle Lockfile 04. Lockfileの処理について 4.1 Gradle Process 4.2 Detail 05. Gradle lockfileの実践 5.1 Problem: Multi-Project 5.2 Solution: Multi-Project 5.3 Problem: Lockfile Management 5.4. Solution: Lockfile Management 06. Lockfileの応用例1: SBOM管理 6.1 What is SBOM ? 6.2 Why SBOM ? 6.3 How SBOM ? 6.4 Lockfile x Trivy 07. Lockfileの応用例2: 脆弱性スキャン 7.1 What is Security Scan ? 7.2 How Security Scan ? 7.3 Lockfile x OSV-Scanner 08. Lockfileの応用例3: 自動更新 8.1 About Auto Update 8.2 How Auto Update 8.3 About Renovate 8.4 Lockfile x Renovate 09. Conclusion 9.1 Summary
69. 9. Conclusion
70. TL;DR (1 line) Gradle lockfileは便利
71. TL;DR (3 lines) • Gradle lockfileの背景と概要 • Gradle lockfileの詳細と実践 • Lockfileの応用例: • SBOM管理 with Trivy • 脆弱性スキャン with OSV-Scanner • ライブラリの自動更新 with Renovate
72. 72 LINEマンガコイン ＆ カジュアル面談申込フォーム We are hiring !
73. End Of doc.