[OnlyReadOneBook]

변경 요약

릴리스 PR #916 dependency-review 가 지적한 critical(GHSA-574f-3g2m-x479, bcprov 1.80)을 포함해, 빌드·테스트 클래스패스의 bouncycastle 을 constraint 로 1.84 이상 보장한다. 유입 경로 실측·정정(#916 코멘트의 foojay 귀속은 오진 — 실제는 Robolectric 4.15.1 → bcprov 1.80, AGP 9.2.1 → 1.79·bcpkix·bcutil, 관련 GHSA 3건 모두 1.84 패치)은 #921 에 기록돼 있다.

• gradle/libs.versions.toml — bouncycastle = "1.84" 하한 버전
• build.gradle.kts
  • 최상단 buildscript 블록: 루트 buildscript classpath constraint. 본문 시점엔 루트 classpath 리졸브가 끝나 있어 여기만 가능하고, buildscript 블록은 카탈로그 accessor 미지원이라 리터럴+주석으로 둔다.
  • allprojects: declarable 전용 bouncycastleConstraints configuration 에 constraint 를 담고 모든 resolvable configuration 이 extendsFrom — Gradle 9 가 compileClasspath·archives 등 non-declarable 에 constraint 선언을 금지해 채택한 구조로, androidLintTool·UTP 같은 AGP 내부 configuration 까지 이름 하드코딩 없이 커버한다(consumable 은 extend 하지 않아 variant 메타데이터 무영향).
  • subprojects: buildscript classpath 에 직접 constraint(buildscript 컨테이너엔 configuration 추가가 금지).
• build-logic/build.gradle.kts — 동일 constraint(별도 빌드라 루트 선언이 미치지 않음)

require 시맨틱이라 추후 AGP·Robolectric 상류가 1.84 이상을 선언하면 그쪽이 이긴다. APK 산출물에는 영향이 없다 — releaseRuntimeClasspath 에 bouncycastle 0건.

검증

• 전 프로젝트·전 resolvable configuration 강제 리졸브 재실측(CI dependency-submission 과 동일 조건): 검출 지점 전원 1.84 정렬(bcprov 91곳·bcpkix 82곳·bcutil 82곳 — 기존 1.79×82+1.80×9 와 개수 구조 일치), 1.79/1.80 잔존 0건
• build-logic dependencyInsight --configuration runtimeClasspath: 1.79 -> 1.84 (constraint 사유 표기 확인)
• compileDebugUnitTestKotlin(전 모듈 게이트) + :core:ui:testDebugUnitTest(실패 0) + :core:model:lintDebug + :app:assembleDebug — BUILD SUCCESSFUL(651 태스크, FAILED 0). 서명된 debug APK 산출로 apksig↔BC 1.84 바이너리 호환까지 확인
• ktlint 1.8.0 standalone(pre-commit 동일 바이너리) 위반 0건
• 시각 검증·QA·시안 대조: 해당 없음 — 빌드 스크립트·버전 카탈로그만 변경, Compose 본문·디자인 토큰·리소스 무변경. 에뮬 실측도 생략(런타임 클래스패스 무영향 — APK 에 bouncycastle 자체가 없음)

리뷰어에게

• chore(build): 툴체인·의존성 버전 최신화 — AGP 9.3.1·Kotlin 2.4.10 및 라이브러리 10건 #667(AGP 9.3.1 등 버전 최신화)과 비차단 — 최신화가 진행돼도 이 하한은 안전망으로 유지된다.
• 다음 develop→main 릴리스 PR 의 dependency-review 에는 이 diff 가 bouncycastle 1.79/1.80 제거·1.84 추가로 나타난다.
• fix(build): org.bouncycastle:bcpkix-jdk18on 보안 권고 대응 필요 #983·fix(build): org.bouncycastle:bcprov-jdk18on 보안 권고 대응 필요 #984 를 함께 닫는다 — 0823 dependency-audit 회차가 같은 bouncycastle 1.79 를 bcpkix-jdk18on(GHSA-wg6q-6289-32hp)·bcprov-jdk18on(GHSA-574f-3g2m-x479·GHSA-c3fc-8qff-9hwx) 이슈로 각각 다시 올렸는데, 검사 커밋(6123a68)이 이 PR 머지 전이라 생긴 중복이다. 이 PR 의 1.84 하한이 그대로 해소분이다. 같은 회차의 나머지 감사 이슈는 스택 상위 #1003 이 처리한다(fix(build): Kotlin Gradle Plugin 보안 권고 대응 필요 #986 은 정식 패치판 부재로 보류 — 근거는 그 이슈 코멘트).

Closes #921
Closes #983
Closes #984

[github-actions]

🚀 QA 배포 권장

• 위험도: high
• 포함 이슈: fix(mindrecord): 임시저장 선택 삭제 실패가 무시되고 완료 처리됨 #442, refactor(app): 홈·수신자 홈 화면 feature 모듈 이전 — app 잔존 presentation 정리 #546, fix(mindrecord): 홈 MEMORIES 카드·추억 공간 화면이 고정 더미 — 실데이터 미연동 #559, fix(mindrecord): 데일리질문 생성·수정 응답의 userDailyQuestionId 를 BaseResponse<Unit> 으로 버림 #573, fix(mindrecord): 주간리포트 상단 카운트와 요약 기록일수 불일치 — diaryAmount 는 1인데 week[] 에 미포함 #590, fix(mindrecord): 데일리질문 목록 상단 '오늘의 추천 질문' 영역 미구현 — 조회한 todayQuestion 을 화면이 소비하지 않음 #592, refactor(afternote): 수신자 흐름 58개 파일을 feature:receiver 로 이전 — 애프터노트 모듈이 타 도메인 열람 관문 소유 #615, fix(mindrecord): 홈 TODAY'S QUESTION 카드 '데일리질문 답변하기' 무동작 — 카드 데이터는 정상 #627, fix(mindrecord): data 계층 runCatching 이 CancellationException 을 Result 로 소비 — 취소 전파 보존 #670, fix(mindrecord): 화면 배경이 시안 #FAFAFA 대신 Material3 기본 surface #FEF7FF 로 렌더 — 탭 간 배경 불일치 #691, fix(mindrecord): 보기 스위치·캘린더 탐색 상태가 콘텐츠와 불일치 #724, fix(mindrecord): 주간리포트 주차 드롭다운이 5개로 끝나 시안의 추가 이력·스크롤 미노출 #729, fix(mindrecord): 주간리포트 요약 문구 공백 소실 — '이번 주,이름님은N일의…'로 붙어 표시 #732, fix(mindrecord): 주간리포트 캘린더가 감정 이모티콘과 점을 함께 표시 — 시안·디자이너 정의는 배타적 #749, fix(mindrecord): 주간리포트 데일리질문 날짜 파싱 실패가 오늘 날짜로 무음 폴백 — 틀린 날짜를 정상처럼 표시 #751, fix(mindrecord): 일기 날짜 선택 제목이 '발송 날짜' — 시안은 '기록 날짜'로 수정됨 #760, fix(mindrecord): 작성 툴바 '임시저장' 카운트가 항상 0 — 두 작성 화면 모두 draftCount 미전달 #769, refactor(mindrecord): DTO 기본값·불필요 nullable 제거 — 누락 계약을 정상값으로 은폐 #789, 로그아웃 시 로컬 저장소 3개가 지워지지 않음 — DataStore 수명(scope) 계약 도입 #912, chore(build): 빌드·테스트 클래스패스 bouncycastle 1.84 상향 — dependency-review critical(GHSA-574f-3g2m-x479) 해소 #921, develop androidTest 컴파일 실패 44건 — 배치 머지 API 드리프트가 미검증 착륙, 컴파일 게이트 부재 #936, fix(core): presigned URL 요청에 필수 contentLength 가 빠져 이미지 업로드가 전부 실패 #950, fix(mindrecord): 수신자 데일리질문 isDraft 를 파싱하지 않고 false 하드코딩 — draft 노출 방어가 무효 #956, fix(build): org.bouncycastle:bcpkix-jdk18on 보안 권고 대응 필요 #983, fix(build): org.bouncycastle:bcprov-jdk18on 보안 권고 대응 필요 #984, fix(ci): 릴리스·WIF canary 배포가 같은 Firebase 앱에 동시 업로드 가능 — concurrency group 분리 #995, perf(ci): PR 검증 4개 job이 같은 debug variant 를 각자 컴파일 — build cache 가 전역 off #996, chore(ci): 실서비스 secret workflow 3종의 검증·decode 블록 3변종 중복 — 공유 composite 로 통합 #997, chore(ci): dependency-graph job correlator 불일치 — develop base PR 의 dependency-review 가 의존성 전량을 신규 도입으로 오탐 #1009
• 판단 근거: 고위험 변경이 포함됐습니다: .github/workflows/release-distribution.yml, PR fix(ci): 릴리스·WIF canary 가 같은 Firebase 앱에 동시 업로드 가능 (closes 995) [base: develop] #1001, PR chore(ci): 실서비스 secret workflow 3종의 검증·decode 3변종을 composite 로 통합 (closes 997) [base: develop] #1002, PR [fix] #627 홈 TODAY'S QUESTION 답변 CTA 를 작성 화면에 연결한다 #894. 다른 변경을 기다리지 않고 QA 배포합니다.

QA 포인트

• chore(build): 빌드·테스트 클래스패스 bouncycastle 1.84 상향 — dependency-review critical(GHSA-574f-3g2m-x479) 해소 #921 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(build): org.bouncycastle:bcpkix-jdk18on 보안 권고 대응 필요 #983 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(build): org.bouncycastle:bcprov-jdk18on 보안 권고 대응 필요 #984 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• refactor(app): 홈·수신자 홈 화면 feature 모듈 이전 — app 잔존 presentation 정리 #546 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• refactor(afternote): 수신자 흐름 58개 파일을 feature:receiver 로 이전 — 애프터노트 모듈이 타 도메인 열람 관문 소유 #615 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(mindrecord): 보기 스위치·캘린더 탐색 상태가 콘텐츠와 불일치 #724 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• perf(ci): PR 검증 4개 job이 같은 debug variant 를 각자 컴파일 — build cache 가 전역 off #996 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(ci): 릴리스·WIF canary 배포가 같은 Firebase 앱에 동시 업로드 가능 — concurrency group 분리 #995 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• chore(ci): 실서비스 secret workflow 3종의 검증·decode 블록 3변종 중복 — 공유 composite 로 통합 #997 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(mindrecord): 홈 TODAY'S QUESTION 카드 '데일리질문 답변하기' 무동작 — 카드 데이터는 정상 #627 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(mindrecord): data 계층 runCatching 이 CancellationException 을 Result 로 소비 — 취소 전파 보존 #670 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(mindrecord): 작성 툴바 '임시저장' 카운트가 항상 0 — 두 작성 화면 모두 draftCount 미전달 #769 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(mindrecord): 화면 배경이 시안 #FAFAFA 대신 Material3 기본 surface #FEF7FF 로 렌더 — 탭 간 배경 불일치 #691 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(mindrecord): 주간리포트 요약 문구 공백 소실 — '이번 주,이름님은N일의…'로 붙어 표시 #732 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(mindrecord): 데일리질문 목록 상단 '오늘의 추천 질문' 영역 미구현 — 조회한 todayQuestion 을 화면이 소비하지 않음 #592 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(mindrecord): 홈 MEMORIES 카드·추억 공간 화면이 고정 더미 — 실데이터 미연동 #559 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(mindrecord): 주간리포트 캘린더가 감정 이모티콘과 점을 함께 표시 — 시안·디자이너 정의는 배타적 #749 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(mindrecord): 주간리포트 상단 카운트와 요약 기록일수 불일치 — diaryAmount 는 1인데 week[] 에 미포함 #590 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(mindrecord): 임시저장 선택 삭제 실패가 무시되고 완료 처리됨 #442 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(mindrecord): 일기 날짜 선택 제목이 '발송 날짜' — 시안은 '기록 날짜'로 수정됨 #760 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(core): presigned URL 요청에 필수 contentLength 가 빠져 이미지 업로드가 전부 실패 #950 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• refactor(mindrecord): DTO 기본값·불필요 nullable 제거 — 누락 계약을 정상값으로 은폐 #789 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(mindrecord): 수신자 데일리질문 isDraft 를 파싱하지 않고 false 하드코딩 — draft 노출 방어가 무효 #956 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(mindrecord): 주간리포트 주차 드롭다운이 5개로 끝나 시안의 추가 이력·스크롤 미노출 #729 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(mindrecord): 데일리질문 생성·수정 응답의 userDailyQuestionId 를 BaseResponse<Unit> 으로 버림 #573 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• fix(mindrecord): 주간리포트 데일리질문 날짜 파싱 실패가 오늘 날짜로 무음 폴백 — 틀린 날짜를 정상처럼 표시 #751 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• chore(ci): dependency-graph job correlator 불일치 — develop base PR 의 dependency-review 가 의존성 전량을 신규 도입으로 오탐 #1009 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• develop androidTest 컴파일 실패 44건 — 배치 머지 API 드리프트가 미검증 착륙, 컴파일 게이트 부재 #936 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인
• 로그아웃 시 로컬 저장소 3개가 지워지지 않음 — DataStore 수명(scope) 계약 도입 #912 관련 동작을 재현하고 수정 후 기대 결과가 충족되는지 확인

이 판단은 배포를 자동 실행하지 않습니다. deploy일 때 Release Distribution을 수동 실행하세요.