В rbkmoney такая схема очень активно используется (правда с jenkins), и там если не ошибаюсь credentials прокидывались через переменные окружения, при сборке монтировался кеш ребара для диалайзера с хоста и hex.pm, вся сборка делалась через build image, который строго версионируется, и на выходе получается повторяемая в любой момент сборка.
Единственная проблема у такой схемы которую я вижу — уладывание на лопатки гитхаба и/или hex.pm, но такие ситуации нужно решать локальным gitlab/hex.pm.

какие ещё мелочи?

ты вообще о чём?

история с зависимости вменяемо не решена вообще нигде

ты сейчас просишь научить тебя жить, потому что ты видимо вообще не в курсе о проблематике хранения зависимостей дальше чем после первого вытаскивания их, тебе рассказывают какие есть сложности, а ты какую-то ерунду про «ложки дегтя»

ну давай, продолжай пользоваться лефтпадом

а что мешает поднять свой git и держать там форки с upstream?

это тоже один из вариантов, причем очень разумный.

Вариант с жестоким вмерживанием либ, как у нас, годится когда их очень мало, их фактически все руками отбираешь и они очень редко обновляются.

В этом случае регулярное стягивание одних и тех же зависимостей жрет много времени, а вмерживание его экономит.

Если обновляться чаще, то наш вариант превратится в боль и страдания.

Ну и конечно это несовместимо с тем калом, в который превратился яваскрипт, когда в среднем проекте по 6 дублирующих либ и всего их под тысячу.

github купил npm, возможно это пофиксят

говорят мечтать не вредно

миллион яваскрипт программистов научатся тому, что каждая лишняя зависимость — это зло?

Не, там такая культура уже выросла, что npm — это stdlib.

Вместо того, чтобы скопировать 10 строк кода, они подключают либу с npm. У всех тех, с кем я это обсуждал доводы такие:

— что такое реюз кода? Проект живет месяца 2-3, потом с ним уже кто-то другой возится
— а че такого?

там только ковровыми бомбежками и выжиганием напалмом всей экосистемы

зачем всей? мы уже выяснили что лефтпада достаточно)

думаю проблема в этом - "там такая культура уже выросла, что npm — это stdlib". Пока кто-то не возьмет лопату и не перелопатит эту кучу компоста с целью выделить все микропакеты в стандартную либу ничего не поменяется

а кто этим будет заниматься? не гитхаб же...

я пропустил какую-то часть диалога что-ли ?
к чему это ?

к «ложке дегтя»

поясняю
для scala/java я использую артифактори и это очень удобно
у  ерланга нет такого простого решения - и это не удобно

буду таскать исходники
из предложенных вариантов  - этот мне показался  наиболее удобным

артифактори умеет хранить обезличенные бинари. а локально развернутый hex.pm умеет хранить не обезличенные. а если таскать исходники и собирать самому, то вообще вопрос отпадает