[OnlyReadOneBook]

변경 요약

dependency-audit 이 올린 감사 이슈 14건(#973~#986) 중 11건을 처리한다. 보안 권고 9건은 전부 buildscript classpath·빌드 도구 경유이고 APK 산출물에는 없다 — releaseRuntimeClasspath 검출 0건을 실측했다.

보안 하한 (#975~#982, #985)

유입 경로를 전수 리졸브로 특정한 뒤 constraint 로 올렸다. 상류(AGP 9.2.1·Firebase App Distribution 5.3.0)가 아직 취약 버전을 물고 있고 상류 최신판도 패치 버전 미만이다.

대상	현재 → 하한	유입 경로 (실측)
io.netty 6종	4.1.110.Final → 4.1.137.Final	Firebase App Distribution 5.3.0 → grpc-netty 1.69.1
commons-lang3	3.16.0 → 3.18.0	AGP 9.2.1 → sdk-common → sdklib → repository → commons-compress 1.27.1
jose4j	0.9.5 → 0.9.6	AGP 9.2.1 → bundletool 1.18.3
jdom2	2.0.6 → 2.0.6.1	AGP 9.2.1 → jetifier-processor 1.0.0-beta10

• chore(build): 빌드·테스트 클래스패스 bouncycastle 1.84 상향 — dependency-review critical(GHSA-574f-3g2m-x479) 해소 #921 이 만든 bouncycastle 전용 구조를 SecurityFloor 목록으로 일반화해 네 품목을 함께 싣는다. 별도 빌드인 build-logic 에도 같은 하한을 선언한다(netty 는 거기 없다).
• netty 는 개별 constraint 대신 netty-bom 으로 걸었다. grpc-netty 가 끌어오는 모듈이 10개를 넘고 서로 버전이 맞아야 한다.
• netty BOM 은 루트 buildscript classpath 에만 건다. allprojects 하한에 함께 걸었더니 AGP 의 android-reverse-meta-data usage 가 platform 변형을 못 찾아 :app:processDebugMainManifest 가 깨졌고, 전 프로젝트 실측에서 netty 53건이 전부 루트 buildscript 소속임을 확인해 그쪽 전용으로 좁혔다.

해석 정합성 (#973, #974)

• material3 (fix(build): androidx-compose-material3 선언 버전과 Gradle 해석 버전을 일치시킨다 #973) — 카탈로그는 Compose BOM 2026.06.01(=material3 1.4.0)을 정본으로 두는데, richeditor-compose 1.0.0 이 딸려 보내는 CMP material3:1.11.0-alpha07 이 conflict resolution 으로 이겨 앱 전체가 1.5.0-alpha17(alpha) 로 렌더되고 있었다. 쓰는 심볼은 BasicRichTextEditor·rememberRichTextState 뿐(foundation 계열)이라 미사용 material3 갈래를 끊어 BOM 을 정본으로 되돌린다. richeditor 1.1.0 도 같은 알파를 물고 있어 업그레이드로는 해소되지 않는다.
• coroutines (fix(build): coroutines-core 선언 버전과 Gradle 해석 버전을 일치시킨다 #974) — :app 은 원래 1.11.0 이 맞고, 어긋난 곳은 :konsist 의 testRuntimeClasspath 였다(konsist 0.17.3 → kotlin-compiler-embeddable 2.0.21 경유 1.9.0). 아키텍처 테스트 전용 모듈이지만 감사가 보는 configuration 을 카탈로그 선언으로 맞춘다.

검증

• compileDebugUnitTestKotlin(전 모듈 게이트) + testDebugUnitTest + :app:assembleDebug + :konsist:test + :build-logic:test — BUILD SUCCESSFUL, FAILED 0
• 시각 검증: 스크린샷 baseline 119개를 CI 동일 docker(ubuntu/amd64) 컨테이너에서 validateDebugScreenshotTest 4모듈(core:ui·app·feature:afternote:presentation·feature:onboarding:presentation) 돌려 BUILD SUCCESSFUL — material3 알파→안정판 전환에도 렌더 변화 0건이라 baseline 재생성은 없다.
• 리졸브 재실측: 잔존 취약 버전 0건 (netty 53건 전원 4.1.137.Final, konsist coroutines 1.9.0→1.11.0, material3 1.5.0-alpha17 검출 0건, build-logic 3품목 상향)
• ktlintCheck 위반 0건
• 에뮬 QA·시안 대조: 해당 없음 — 빌드 스크립트·버전 카탈로그만 변경했고 Compose 본문·디자인 토큰·리소스는 무변경이다. material3 다운그레이드의 시각 영향은 위 스크린샷 119개로 판정했다.

리뷰어에게

• base 는 chore/921(chore(build): 빌드·테스트 클래스패스 bouncycastle 하한을 1.84 로 상향 (closes 921, 983, 984) [base: develop] #922) 스택이다. chore(build): 빌드·테스트 클래스패스 bouncycastle 1.84 상향 — dependency-review critical(GHSA-574f-3g2m-x479) 해소 #921 이 만든 constraint 골격을 확장하므로 같은 블록을 건드린다. chore(build): 빌드·테스트 클래스패스 bouncycastle 하한을 1.84 로 상향 (closes 921, 983, 984) [base: develop] #922 → 이 PR 순으로 머지해야 한다.
• fix(build): org.bouncycastle:bcpkix-jdk18on 보안 권고 대응 필요 #983·fix(build): org.bouncycastle:bcprov-jdk18on 보안 권고 대응 필요 #984(bouncycastle)는 이 PR 이 닫지 않는다 — chore(build): 빌드·테스트 클래스패스 bouncycastle 하한을 1.84 로 상향 (closes 921, 983, 984) [base: develop] #922 가 이미 1.84 로 해결하는 중복 이슈라 그쪽 본문에 Closes 를 추가했다.
• fix(build): Kotlin Gradle Plugin 보안 권고 대응 필요 #986(Kotlin Gradle Plugin, GHSA-r937-wjx7-w2jp)은 의도적으로 채택하지 않았다. 정식 패치판이 없고(2.4.20-Beta1/Beta2/RC 만, 정식은 2.4.10까지) 취약점은 빌드 캐시 역직렬화인데 이 레포는 gradle.properties:33 에 org.gradle.caching=false 로 공격면이 닫혀 있다. CVSS 도 AV:L/AC:H/PR:H 다. 프로덕션 툴체인을 Beta 로 올리는 위험이 더 크다고 판단했다 — 근거는 이슈 코멘트에 남겼고, 2.4.20 정식 출시 시 대응한다.
• feature/mindrecord/presentation/build.gradle.kts 는 이준혁(@Sadturtleman) 담당 모듈이지만, 변경은 exclude 한 줄이다(fix(build): androidx-compose-material3 선언 버전과 Gradle 해석 버전을 일치시킨다 #973 원인이 그 모듈의 richeditor 선언이라 국소적으로 뒀다).
• 하한은 require 시맨틱이라 추후 상류가 하한 이상을 선언하면 그쪽이 이긴다. chore(build): 툴체인·의존성 버전 최신화 — AGP 9.3.1·Kotlin 2.4.10 및 라이브러리 10건 #667(AGP 등 버전 최신화)과 비차단이다.

Closes #973
Closes #974
Closes #975
Closes #976
Closes #977
Closes #978
Closes #979
Closes #980
Closes #981
Closes #982
Closes #985

[github-actions]

🚀 QA 배포 권장

• 위험도: high
• 포함 이슈: fix(mindrecord): 임시저장 선택 삭제 실패가 무시되고 완료 처리됨 #442, refactor(app): 홈·수신자 홈 화면 feature 모듈 이전 — app 잔존 presentation 정리 #546, fix(mindrecord): 홈 MEMORIES 카드·추억 공간 화면이 고정 더미 — 실데이터 미연동 #559, fix(mindrecord): 데일리질문 생성·수정 응답의 userDailyQuestionId 를 BaseResponse<Unit> 으로 버림 #573, fix(mindrecord): 주간리포트 상단 카운트와 요약 기록일수 불일치 — diaryAmount 는 1인데 week[] 에 미포함 #590, fix(mindrecord): 데일리질문 목록 상단 '오늘의 추천 질문' 영역 미구현 — 조회한 todayQuestion 을 화면이 소비하지 않음 #592, refactor(afternote): 수신자 흐름 58개 파일을 feature:receiver 로 이전 — 애프터노트 모듈이 타 도메인 열람 관문 소유 #615, fix(mindrecord): 홈 TODAY'S QUESTION 카드 '데일리질문 답변하기' 무동작 — 카드 데이터는 정상 #627, fix(mindrecord): data 계층 runCatching 이 CancellationException 을 Result 로 소비 — 취소 전파 보존 #670, fix(mindrecord): 화면 배경이 시안 #FAFAFA 대신 Material3 기본 surface #FEF7FF 로 렌더 — 탭 간 배경 불일치 #691, fix(mindrecord): 보기 스위치·캘린더 탐색 상태가 콘텐츠와 불일치 #724, fix(mindrecord): 주간리포트 주차 드롭다운이 5개로 끝나 시안의 추가 이력·스크롤 미노출 #729, fix(mindrecord): 주간리포트 요약 문구 공백 소실 — '이번 주,이름님은N일의…'로 붙어 표시 #732, fix(mindrecord): 주간리포트 캘린더가 감정 이모티콘과 점을 함께 표시 — 시안·디자이너 정의는 배타적 #749, fix(mindrecord): 주간리포트 데일리질문 날짜 파싱 실패가 오늘 날짜로 무음 폴백 — 틀린 날짜를 정상처럼 표시 #751, fix(mindrecord): 일기 날짜 선택 제목이 '발송 날짜' — 시안은 '기록 날짜'로 수정됨 #760, fix(mindrecord): 작성 툴바 '임시저장' 카운트가 항상 0 — 두 작성 화면 모두 draftCount 미전달 #769, refactor(mindrecord): DTO 기본값·불필요 nullable 제거 — 누락 계약을 정상값으로 은폐 #789, 로그아웃 시 로컬 저장소 3개가 지워지지 않음 — DataStore 수명(scope) 계약 도입 #912, chore(build): 빌드·테스트 클래스패스 bouncycastle 1.84 상향 — dependency-review critical(GHSA-574f-3g2m-x479) 해소 #921, NavigationDebugLogger 삭제 — 역할 끝난 일회성 디버그 프로브 #927, core:startup 모듈 삭제 — Initializer 2개를 app 으로 이동 #929, develop androidTest 컴파일 실패 44건 — 배치 머지 API 드리프트가 미검증 착륙, 컴파일 게이트 부재 #936, 추모 미디어 업로드 경로 통합 — Outcome 타입 제거, 사진·영상 중복 구현 1개로 #938, fix(core): presigned URL 요청에 필수 contentLength 가 빠져 이미지 업로드가 전부 실패 #950, fix(mindrecord): 수신자 데일리질문 isDraft 를 파싱하지 않고 false 하드코딩 — draft 노출 방어가 무효 #956, fix(build): androidx-compose-material3 선언 버전과 Gradle 해석 버전을 일치시킨다 #973, fix(build): coroutines-core 선언 버전과 Gradle 해석 버전을 일치시킨다 #974, fix(build): io.netty:netty-codec 보안 권고 대응 필요 #975, fix(build): io.netty:netty-codec-http 보안 권고 대응 필요 #976, fix(build): io.netty:netty-codec-http2 보안 권고 대응 필요 #977, fix(build): io.netty:netty-common 보안 권고 대응 필요 #978, fix(build): io.netty:netty-handler 보안 권고 대응 필요 #979, fix(build): io.netty:netty-handler-proxy 보안 권고 대응 필요 #980, fix(build): org.apache.commons:commons-lang3 보안 권고 대응 필요 #981, fix(build): org.bitbucket.b_c:jose4j 보안 권고 대응 필요 #982, fix(build): org.bouncycastle:bcpkix-jdk18on 보안 권고 대응 필요 #983, fix(build): org.bouncycastle:bcprov-jdk18on 보안 권고 대응 필요 #984, fix(build): org.jdom:jdom2 보안 권고 대응 필요 #985, fix(ci): 릴리스·WIF canary 배포가 같은 Firebase 앱에 동시 업로드 가능 — concurrency group 분리 #995, perf(ci): PR 검증 4개 job이 같은 debug variant 를 각자 컴파일 — build cache 가 전역 off #996, chore(ci): 실서비스 secret workflow 3종의 검증·decode 블록 3변종 중복 — 공유 composite 로 통합 #997, chore(ci): dependency-graph job correlator 불일치 — develop base PR 의 dependency-review 가 의존성 전량을 신규 도입으로 오탐 #1009
• 판단 근거: 고위험 변경이 포함됐습니다: .github/workflows/release-distribution.yml, PR fix(ci): 릴리스·WIF canary 가 같은 Firebase 앱에 동시 업로드 가능 (closes 995) [base: develop] #1001, PR chore(ci): 실서비스 secret workflow 3종의 검증·decode 3변종을 composite 로 통합 (closes 997) [base: develop] #1002, PR [fix] #627 홈 TODAY'S QUESTION 답변 CTA 를 작성 화면에 연결한다 #894. 다른 변경을 기다리지 않고 QA 배포합니다.

QA 포인트

• fix(build): androidx-compose-material3 선언 버전과 Gradle 해석 버전을 일치시킨다 #973 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(build): coroutines-core 선언 버전과 Gradle 해석 버전을 일치시킨다 #974 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(build): io.netty:netty-codec 보안 권고 대응 필요 #975 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(build): io.netty:netty-codec-http 보안 권고 대응 필요 #976 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(build): io.netty:netty-codec-http2 보안 권고 대응 필요 #977 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(build): io.netty:netty-common 보안 권고 대응 필요 #978 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(build): io.netty:netty-handler 보안 권고 대응 필요 #979 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(build): io.netty:netty-handler-proxy 보안 권고 대응 필요 #980 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(build): org.apache.commons:commons-lang3 보안 권고 대응 필요 #981 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(build): org.bitbucket.b_c:jose4j 보안 권고 대응 필요 #982 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(build): org.jdom:jdom2 보안 권고 대응 필요 #985 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• refactor(app): 홈·수신자 홈 화면 feature 모듈 이전 — app 잔존 presentation 정리 #546 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• refactor(afternote): 수신자 흐름 58개 파일을 feature:receiver 로 이전 — 애프터노트 모듈이 타 도메인 열람 관문 소유 #615 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(mindrecord): 보기 스위치·캘린더 탐색 상태가 콘텐츠와 불일치 #724 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• perf(ci): PR 검증 4개 job이 같은 debug variant 를 각자 컴파일 — build cache 가 전역 off #996 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(ci): 릴리스·WIF canary 배포가 같은 Firebase 앱에 동시 업로드 가능 — concurrency group 분리 #995 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• chore(ci): 실서비스 secret workflow 3종의 검증·decode 블록 3변종 중복 — 공유 composite 로 통합 #997 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(mindrecord): 홈 TODAY'S QUESTION 카드 '데일리질문 답변하기' 무동작 — 카드 데이터는 정상 #627 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(mindrecord): data 계층 runCatching 이 CancellationException 을 Result 로 소비 — 취소 전파 보존 #670 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(mindrecord): 작성 툴바 '임시저장' 카운트가 항상 0 — 두 작성 화면 모두 draftCount 미전달 #769 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(mindrecord): 화면 배경이 시안 #FAFAFA 대신 Material3 기본 surface #FEF7FF 로 렌더 — 탭 간 배경 불일치 #691 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(mindrecord): 주간리포트 요약 문구 공백 소실 — '이번 주,이름님은N일의…'로 붙어 표시 #732 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(mindrecord): 데일리질문 목록 상단 '오늘의 추천 질문' 영역 미구현 — 조회한 todayQuestion 을 화면이 소비하지 않음 #592 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(mindrecord): 홈 MEMORIES 카드·추억 공간 화면이 고정 더미 — 실데이터 미연동 #559 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(mindrecord): 주간리포트 캘린더가 감정 이모티콘과 점을 함께 표시 — 시안·디자이너 정의는 배타적 #749 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(mindrecord): 주간리포트 상단 카운트와 요약 기록일수 불일치 — diaryAmount 는 1인데 week[] 에 미포함 #590 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(mindrecord): 임시저장 선택 삭제 실패가 무시되고 완료 처리됨 #442 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(mindrecord): 일기 날짜 선택 제목이 '발송 날짜' — 시안은 '기록 날짜'로 수정됨 #760 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(core): presigned URL 요청에 필수 contentLength 가 빠져 이미지 업로드가 전부 실패 #950 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• refactor(mindrecord): DTO 기본값·불필요 nullable 제거 — 누락 계약을 정상값으로 은폐 #789 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(mindrecord): 수신자 데일리질문 isDraft 를 파싱하지 않고 false 하드코딩 — draft 노출 방어가 무효 #956 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(mindrecord): 주간리포트 주차 드롭다운이 5개로 끝나 시안의 추가 이력·스크롤 미노출 #729 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(mindrecord): 데일리질문 생성·수정 응답의 userDailyQuestionId 를 BaseResponse<Unit> 으로 버림 #573 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(mindrecord): 주간리포트 데일리질문 날짜 파싱 실패가 오늘 날짜로 무음 폴백 — 틀린 날짜를 정상처럼 표시 #751 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• chore(ci): dependency-graph job correlator 불일치 — develop base PR 의 dependency-review 가 의존성 전량을 신규 도입으로 오탐 #1009 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• develop androidTest 컴파일 실패 44건 — 배치 머지 API 드리프트가 미검증 착륙, 컴파일 게이트 부재 #936 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• 로그아웃 시 로컬 저장소 3개가 지워지지 않음 — DataStore 수명(scope) 계약 도입 #912 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• chore(build): 빌드·테스트 클래스패스 bouncycastle 1.84 상향 — dependency-review critical(GHSA-574f-3g2m-x479) 해소 #921 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(build): org.bouncycastle:bcpkix-jdk18on 보안 권고 대응 필요 #983 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(build): org.bouncycastle:bcprov-jdk18on 보안 권고 대응 필요 #984 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• NavigationDebugLogger 삭제 — 역할 끝난 일회성 디버그 프로브 #927 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• core:startup 모듈 삭제 — Initializer 2개를 app 으로 이동 #929 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• 추모 미디어 업로드 경로 통합 — Outcome 타입 제거, 사진·영상 중복 구현 1개로 #938 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인

이 판단은 배포를 자동 실행하지 않습니다. deploy일 때 Release Distribution을 수동 실행하세요.