[OnlyReadOneBook]

📌 Issues

Closes #161

📎 Work Description

기본 브랜치에 Dependabot 경보가 54건(high 19 · moderate 29 · low 6) 떠 있고 push 할 때마다 원격이 그 숫자를 찍습니다. 출시 직전에 보면 누구나 멈추는 숫자인데, 그중 앱에 들어가는 것이 하나도 없다는 사실이 아무 데도 적혀 있지 않았습니다. 볼 때마다 다시 조사해야 합니다.

판정 방법과 오늘 실측을 런북에 남겼습니다.

판정 기준은 숫자가 아니라 「앱의 릴리스 런타임 클래스패스에 있나」 입니다. 경보의 manifest 는 셋뿐이고 셋 다 사용자가 받는 산출물 밖입니다.

manifest	성격
settings.gradle.kts	Gradle 빌드 그래프(AGP·플러그인·툴링)
functions/package-lock.json	Cloud Functions(Node)
firestore-tests/package-lock.json	규칙 테스트(devDependency)

high 경보의 실체인 netty·jose4j·jdom2 가 릴리스 런타임 클래스패스에 있는지 직접 세었습니다. 0건입니다.

./gradlew -q :app:dependencies --configuration releaseRuntimeClasspath \
  | grep -cE "netty|logback|jose4j|jdom2|httpclient|commons-lang3"
0

앱에 들어가는 경보 패키지는 guava 하나인데, 두 권고 모두 < 32.0.0-android 가 대상이고 앱이 푸는 값은 32.1.3-android 라 이미 패치된 판입니다.

곧 테스터와 사용자가 받는 APK·AAB 에는 알려진 취약 코드가 들어가지 않습니다.

📷 Screenshot

문서만 바뀝니다.

💬 To Reviewers

• 해석된 버전으로 판정한다는 점을 적어 뒀습니다. 선언 버전과 다를 수 있고, guava 가 정확히 그런 경우입니다.
• dependency-review 워크플로가 왜 이 숫자를 안 잡는지도 적었습니다 — 그 검사는 PR 이 바꾸는 의존성만 봅니다. 그래서 초록인 채로 경보가 쌓입니다.
• 빌드 쪽 경보를 실제로 줄이는 일은 이 PR 의 범위가 아닙니다. 산출물에 닿지 않으므로 출시를 막지 않고, 툴체인을 올릴 때 함께 봅니다.