fix(build): netty 보안 하한이 AGP UTP 설정에 미적용 — 릴리스 PR dependency-review 가 high 8건으로 실패 #1058

📜 Overview (Required)

#1003 이 #975~#980 을 닫으며 netty 를 4.1.137.Final 로 올렸지만, 하한이 루트 buildscript classpath 에만 걸려 AGP 가 만드는 UTP(Unified Test Platform) 설정 2종은 여전히 구버전을 해석한다. 그 결과 develop 의 dependency snapshot 에 4.1.93.Final·4.1.110.Final 이 남아, 릴리스 PR #1025 의 Review dependency changes 가 high 8건으로 실패한다.

실측 (origin/develop efbb1256c, 전 프로젝트 × 전 configuration 실행 시점 리졸브)

• netty 해석 총 584건 중 572건이 UTP 경유 구버전 (26개 안드로이드 모듈 × netty 모듈 11종), 12건만 루트 classpath 의 4.1.137.
• dependency-review 가 high 로 잡는 8건: netty-codec·netty-codec-http·netty-codec-http2·netty-handler 의 4.1.93·4.1.110.

수정 방향

build.gradle.kts 의 securityFloors 목록에 netty 11개 모듈을 평범한 constraint 로 추가한다. #1003 주석이 우려한 «AGP 의 android-reverse-meta-data usage 가 platform 변형을 못 찾아 리졸브가 깨진다» 는 platform() BOM 에만 해당하는 제약이다 — 로컬 실측에서 constraint 방식은 584건 전부 4.1.137.Final 로 정렬되고 리졸브 오류 0건이었다.

📌 Child Issue(Optional)

No response

📍 Note (Optional)

• UTP 설정은 계측 테스트 호스트 측 러너 경로다. APK 산출물에는 없다(releaseRuntimeClasspath 0건, chore(build): 빌드·테스트 클래스패스 bouncycastle 1.84 상향 — dependency-review critical(GHSA-574f-3g2m-x479) 해소 #921 실측과 동일).
• 별개 사안: 릴리스 PR(develop → main)은 main 에 dependency snapshot 이 없어 develop 의존성 903건 전량이 «신규 도입» 으로 계산된다. dependency-submission.yml 이 push: branches: [develop] 만 제출하기 때문으로, chore(ci): dependency-graph job correlator 불일치 — develop base PR 의 dependency-review 가 의존성 전량을 신규 도입으로 오탐 #1009 와 같은 구조가 ref 만 바꿔 재현된 것. 이번 수정으로 high 가 사라지면 release: develop 누적 145커밋을 main 릴리스 후보로 반영 [base: main] #1025 는 통과하지만 구조는 남는다.