【ITニュース解説】Your React Native App Has 18 Months to Live

ある企業が突然、Appleからセキュリティに関する警告を受けた。彼らが運営するReact Native製のアプリは、非常に古いバージョン（0.61）で稼働しており、すでに広く知られているセキュリティ上の脆弱性が放置されたままだったのだ。このため、アプリストアの新しいセキュリティ要件を満たせないと指摘され、年末までの対応を求められた。しかし、社内の開発チームにはモバイルアプリ開発の経験者がおらず、急な対応に困り果てていた。

専門家が調査を開始すると、問題は単にアプリのバージョンを少し上げるだけでは解決しないことがすぐに判明した。さらに詳しい調査の後、外部の専門業者からは、アプリをゼロから完全に作り直すのに38万ドル（日本円で約5000万円相当）もの莫大な費用がかかると見積もられたという。これは、開発において避けられない『技術的負債』が、無視され続けた結果として表面化した典型的な事例だ。

技術的負債とは、開発のスピードを優先したり、最新の技術トレンドへの追従を怠ったりすることで発生する、将来的に支払うべきコストのことだ。まるで借金のように、時間が経つほど利子が膨らみ、解決が難しくなっていく。特にReact Nativeのような急速に進化する開発環境では、この負債の蓄積スピードは非常に速い。

多くのReact Nativeアプリの最新化を手がけてきた専門家の経験によれば、『18ヶ月』がこの技術的負債が取り返しのつかなくなる分岐点だとされる。四半期ごと（3ヶ月に一度）のアップデートを18ヶ月以上怠ると、問題の解決は線形的な難しさから指数関数的な難しさへと変化する。つまり、時間が経てば経つほど、問題は雪だるま式に大きくなり、最終的には「作り直し」しか選択肢がなくなるのだ。

具体的なタイムラインは以下のようになる。 開発開始から6ヶ月以内であれば、四半期ごとの簡単なアップデートはそれぞれ2時間程度で済む。 しかし、7ヶ月から12ヶ月が経過すると、異なるソフトウェア部品（依存関係）同士が衝突し始め、アップデートには8時間程度かかるようになる。 13ヶ月から18ヶ月の期間になると、アプリの中核をなすネイティブコードの部品（ネイティブモジュール）に非互換性が発生し、40時間以上もの膨大な作業が必要になる。 そして、19ヶ月以上放置してしまうと、もはや部分的な修正では対応できず、アプリを最初から作り直すことが推奨される状態に陥ってしまう。 これは、Sam's Clubという企業で古いバージョンのReact Nativeアプリを最新化した際にも同様の傾向が確認されており、更新を先延ばしにするといかに技術的負債が早く積み重なるかが示されている。

自分のReact Nativeアプリが将来的に大きな問題に直面するかもしれない、いくつかの明確な兆候がある。 一つ目は、利用しているReact Nativeのバージョンが0.72より古い場合だ。このバージョンは2023年6月21日にリリースされており、これより古いと、正規表現によるサービス拒否攻撃（ReDoS）といった重要なセキュリティパッチが適用されていない状態になる。 二つ目は、『npm outdated』というコマンドを実行した際に、20以上の主要なバージョンアップが必要な古いソフトウェア部品（依存関係）が検出される場合だ。これは、アプリがサポートされていない多くのパッケージに依存していることを意味し、もはやアップデートというよりは、根本的な再構築が必要な状況に近い。 三つ目は、プロジェクトを始めた当初と比べて、アプリのビルド（開発したコードを実行可能なアプリにする作業）にかかる時間が著しく長くなっている場合だ。これは、現代のReact Native開発の標準的な設定から大きく逸脱してしまっていることを示している。 四つ目は、Androidアプリをビルドする際に、Gradle 8以上の新しいビルドツール（アプリを組み立てるためのツール）で名前空間の衝突により失敗する場合だ。アプリストアの新しい要件に対応するためには、いずれこのビルドツールへのアップグレードが必須となるため、対応できないとリリースができなくなる。 五つ目は、アプリを起動したときに開発者向けコンソールに15以上の『非推奨』警告が表示される場合だ。これらの警告は単なるメッセージではなく、将来的にその機能が使えなくなり、アプリが壊れるまでのカウントダウンタイマーだといえる。 これら5つの兆候が同時に現れるようなアプリは、これまでの経験上、例外なく完全な作り直しが必要になったそうだ。

このような危機を避けるためには、定期的なメンテナンスが非常に重要だ。React Nativeエコシステムの急速な進化は強力なメリットをもたらすが、同時に放置すれば危険な罠にもなる。最新の状態を保てば継続的な改善の恩恵を受けられるが、一度遅れると、エコシステム全体から取り残されてしまうのだ。

具体的には、四半期ごと（3ヶ月に一度）に16時間から24時間程度の時間を投資するだけで、アプリの寿命を大幅に延ばすことができる。 まず、React Nativeのバージョンは、一度に一つ、最大でも二つのマイナーバージョンだけ上げるようにする。一度に大きくバージョンを飛ばすと、互換性のない変更が積み重なりすぎて安全に更新するのが非常に困難になるためだ。 セキュリティの脆弱性に対処するために、『npm audit fix』コマンドを実行し、必要なパッチを適用する。 もしナビゲーション機能にReact Navigationを使用している場合は、破壊的な変更が頻繁に発生するため、これも忘れずに更新する。 最新のiOSやAndroidのベータ版リリースでアプリをテストし、新しいOS環境での動作を確認する。 アプリのパフォーマンスを定期的に測定し、性能が劣化していないかを記録する。 そして、使わなくなったソフトウェア部品（依存関係）はすぐに削除する。なぜなら、全ての依存関係は、将来のアップデート時に問題を引き起こす可能性のある潜在的な故障箇所となるからだ。

自分のアプリが健康な状態にあるかを確認する簡単なチェックリストもある。 『npx react-native --version』コマンドを実行して、現在のReact Nativeのバージョンを確認する。現在の最新バージョンは0.81だ。 次に、『npm outdated』コマンドを実行し、主要なバージョンアップが必要な古いソフトウェア部品がいくつあるかを数える。 最新のXcodeやAndroid Studioといった開発ツールを使ってアプリをビルドできるか試してみる。 『npx react-native run-android』コマンドを使って、クリーンな状態からビルドにかかる時間を測定する。 そして、アプリを起動したときに開発者向けコンソールに表示される非推奨警告の数を数える。 もしこれらのチェックで3つ以上の『赤信号』が点灯した場合、あなたのアプリは前述の18ヶ月という崖っぷちに近づいているといえる。

選択は明確だ。毎月2時間程度のメンテナンスに投資するか、それともアプリの再構築に38万ドルもの費用を投じるか。もし上記のような警告サインが見られるなら、複合的な問題が修正不可能になる前に、6ヶ月以内に行動を起こすための猶予がある。 まず、依存関係の監査から始めることを強く推奨する。『npx react-native upgrade-helper』コマンドを使って、現在のバージョンと最新のReact Nativeリリースを比較し、非推奨警告の数を数え、ビルド時間を測定してみると良い。 今後18ヶ月で、あなたのアプリは数百時間の定期的なメンテナンスで健康な状態を保つか、あるいは数千万円ものコストをかけて作り直すかのどちらかになるだろう。緊急の作り直しという事態にならないためにも、早期の行動が求められる。