Dart项目使用非空安全依赖能否实现健全空安全？

核心结论 #

这种场景下完全没法实现健全空安全。
很多人会以为只要自己写的业务代码符合空安全规范就能达到健全空安全的效果，实际上Dart的健全空安全有个很容易被忽略的硬规则：要开启健全空安全，不仅项目自身要迁移到支持空安全的SDK版本，整个依赖树里的所有直接依赖、间接依赖，必须全部是完成空安全迁移的版本（即最低SDK约束在2.12以上，正式声明支持空安全）。只要依赖树里混了一个没迁空安全的包，编译器就会自动把整个项目切到混合空安全模式，这种模式根本不算健全空安全。

结合你的依赖情况的实际影响 #

你现在的依赖里，自研仓库的amazon_cognito_dependency_from_my_own_repo是没开空安全的，哪怕剩下的other_null-safe_dependencies全是正经的空安全版本，也达不到健全空安全的启动门槛。混合模式下的实际体验和限制大概是这些：

• 你自己在项目里写的业务代码，该有的空安全静态检查、IDE类型提示、推导功能都能正常用，不影响日常开发
• 但只要调用那个未迁移的私有依赖，编译器就会直接跳过这块的空安全校验：从这个包里导出来的所有值，都会被隐式当成可空类型处理，没有编译期的空值拦截保护，很容易藏着运行时的空指针问题
• 健全空安全对应的那些运行时性能优化（比如剪掉没用的空检查代码、优化可空类型的内存占用）在混合模式下是完全不生效的

实际可行的处理办法 #

• 最快的达标路径：把你自己仓库里那个亚马逊Cognito依赖包做个空安全迁移，把包的最低SDK版本调到2.12以上，发到私有仓库之后在项目里更新到新版本，等整个依赖树所有包都满足空安全要求了，项目会自动切到健全空安全模式
• 临时凑合用的方案：如果暂时没精力改那个私有包，就维持现在的混合模式跑，注意两个坑：
  • 别在analysis_options.yaml里开那种强制全量空安全的严格规则，不然会因为依赖没迁空安全弹一堆没用的告警，干扰正常开发
  • 所有调用这个未迁移包的地方，一定要手动做空值判断、类型断言，别偷懒，不然很容易出现线上的空指针异常
• 降风险的替代方案：如果这个私有包你根本没法改，就找已经迁完空安全的同功能公开依赖替换掉它，把未迁移的包从依赖树里清出去，从根源上降低混合模式下的异常概率

内容的提问来源于stack exchange，提问作者Alisha Budhathoki