[OnlyReadOneBook]

Closes #1058

무엇이 문제였나

#1003 이 #975~#980 을 닫으며 netty 를 4.1.137.Final 로 올렸지만, 하한이 루트 buildscript classpath 에만 걸려 있었다. AGP 가 만드는 UTP 설정 2종은 그 밖이라 여전히 구버전을 해석하고 있었고, develop 스냅샷에 남은 이 구버전이 릴리스 PR #1025 의 Review dependency changes 를 high 8건(netty-codec·netty-codec-http·netty-codec-http2·netty-handler 의 4.1.93·4.1.110)으로 실패시킨다.

configuration	적용 전	유입 경로
unified-test-platform-core	4.1.93.Final	com.google.testing.platform:core:0.0.9-alpha04 → io.grpc:grpc-netty:1.57.2
unified-test-platform-android-test-plugin-host-emulator-control	4.1.110.Final	com.android.tools.emulator:proto:32.2.1 → io.grpc:grpc-netty:1.69.1
루트 buildscript.classpath	4.1.137.Final	BOM 핀 정상 동작

무엇을 했나

securityFloors 목록에 netty 11개 모듈을 평범한 constraint 로 추가했다. #1003 이 «BOM 을 allprojects 하한에 걸면 AGP 의 android-reverse-meta-data usage 가 platform 변형을 못 찾아 리졸브가 깨진다» 며 루트로 물러난 제약은 platform() 에만 해당한다 — 일반 constraint 는 그 문제를 일으키지 않는다(아래 실측에서 리졸브 오류 0건).

이 사실이 틀린 채로 남아 있던 주석 2곳(«netty 는 루트 buildscript classpath 에만 있고 전 프로젝트 실측 53건 전부 여기»)도 실측대로 고쳤다.

검증

전 프로젝트 × 전 configuration 을 실행 시점에 리졸브하는 스캔(init script)으로 실측했다. 설정 시점 리졸브는 Gradle 9 가 막고, AGP 의 UTP 설정은 뒤늦게 생겨 설정 시점 스캔으로는 애초에 안 잡힌다.

	netty 해석 건수	4.1.137.Final	구버전(4.1.93·4.1.110)	리졸브 오류
적용 전 (develop efbb1256c)	584	12	572	0
적용 후 (이 브랜치)	584	584	0	0

• ktlint — pre-commit 훅의 staged snapshot 검사 통과 (argument-list-wrapping 1차 반려 → 한 줄 한 항목으로 수정).
• ./gradlew :app:compileDebugKotlin — BUILD SUCCESSFUL.
• 시각 검증 skip — Compose 본문·디자인 토큰·리소스 변경이 없다. diff 는 build.gradle.kts 한 파일뿐.

리뷰어에게

• UTP 설정은 계측 테스트 호스트 측 러너 경로다. APK 산출물에는 없다(chore(build): 빌드·테스트 클래스패스 bouncycastle 1.84 상향 — dependency-review critical(GHSA-574f-3g2m-x479) 해소 #921 의 releaseRuntimeClasspath 0건 실측과 동일 성격). netty 4.1 은 마이너 간 바이너리 호환이라 grpc-netty 1.57.2/1.69.1 과 함께 4.1.137 을 쓰는 데 문제 없다.
• 이 PR 이 develop 에 들어가야 릴리스 PR release: develop 누적 145커밋을 main 릴리스 후보로 반영 [base: main] #1025 의 dependency-review 가 통과한다.
• 별개로 남는 구조 — 릴리스 PR 은 main 에 dependency snapshot 이 없어 develop 의존성 903건 전량이 «신규 도입» 으로 계산된다. dependency-submission.yml 이 push: branches: [develop] 만 제출하기 때문으로, chore(ci): dependency-graph job correlator 불일치 — develop base PR 의 dependency-review 가 의존성 전량을 신규 도입으로 오탐 #1009 와 같은 문제가 ref 만 바꿔 재현된 것이다. 이번 수정으로 high 가 사라져 release: develop 누적 145커밋을 main 릴리스 후보로 반영 [base: main] #1025 는 통과하지만 구조 자체는 그대로다.