Repository navigation
fix: 빌드 도구의 전이 의존성과 감사 범위를 보완한다 - #224
Merged
Merged
Conversation
실제 root/app/UTP/ktlint/included-build 경로에 최소 제약을 적용하고 Netty는 4.1 패치 BOM으로 정렬한다. Guava compile 경로도 기존 runtime과 맞춘다. 감사에서 도구 경로와 미해석 좌표를 함께 남긴다. Sources: https://netty.io/news/2026/08/06/4-1-137-Final.html https://logback.qos.ch/news.html https://docs.gradle.org/current/userguide/dependency_constraints.html https://www.bouncycastle.org/download/bouncy-castle-java/
This file contains hidden or bidirectional Unicode text that may be interpreted or compiled differently than what appears below. To review, open the file in an editor that reveals hidden Unicode characters.
Learn more about bidirectional Unicode characters
Sign up for free
to join this conversation on GitHub.
Already have an account?
Sign in to comment
1 participant
Add this suggestion to a batch that can be applied as a single commit.This suggestion is invalid because no changes were made to the code.Suggestions cannot be applied while the pull request is closed.Suggestions cannot be applied while viewing a subset of changes.Only one suggestion per line can be applied in a batch.Add this suggestion to a batch that can be applied as a single commit.Applying suggestions on deleted lines is not supported.You must change the existing code in this line in order to create a valid suggestion.Outdated suggestions cannot be applied.This suggestion has been applied or marked resolved.Suggestions cannot be applied from pending reviews.Suggestions cannot be applied on multi-line comments.Suggestions cannot be applied while the pull request is queued to merge.Suggestion cannot be applied right now. Please check back later.
📌𝘐𝘴𝘴𝘶𝘦𝘴
📎𝘞𝘰𝘳𝘬 𝘋𝘦𝘴𝘤𝘳𝘪𝘱𝘵𝘪𝘰𝘯
빌드·테스트 도구가 취약한 전이 의존성을 계속 선택하던 경로를 패치합니다. 루트와 앱의 플러그인, UTP, ktlint, included build에 제약을 적용하고 Netty는 4.1.137.Final BOM으로 정렬합니다. Guava 컴파일 경로는 기존 실행 버전인 32.1.3-android에 맞춥니다. Bouncy Castle은 provider 전용 패치 1.85.2와 공식 PKIX/util 1.85 조합을 사용합니다.
주간 감사는 기존 debug 실행 보고서를 유지하면서 앱의 전체 구성과 별도 도구 클래스패스를 수집합니다. 선언 전용 항목과 실제 선택 버전을 구분하고 해석 실패 좌표는 미확인 항목으로 남깁니다. 버전별 근거와 재검증 절차는
docs/testing/dependency-security.md에 기록했습니다.검증:
assembleDebug testDebugUnitTest lintDebug ktlintCheck :app:assembleDebugAndroidTest성공, 단위 테스트 305개 통과📷𝘚𝘤𝘳𝘦𝘦𝘯𝘴𝘩𝘰𝘵
의존성·감사 변경으로 해당 없음.
💬𝘛𝘰 𝘙𝘦𝘷𝘪𝘦𝘸𝘦𝘳𝘴
Kotlin 패치판은 후속 #229로 분리합니다. Kotlin 2.4.20은 로컬 빌드·lint·단위 테스트 322개·스크린샷 검증을 통과했으나 CodeQL CLI 2.26.4와 최신 2.27.0 모두 too recent로 소스 추출을 거부했습니다. 최종 변경은 기존 Kotlin 2.4.10을 유지하며 CodeQL Action은 v4.38.0으로 갱신합니다. 실제 실패, Action 릴리스.
Maven 패치와 감사 개선은 독립적으로 완료하며 npm은 #225에서 처리합니다. 현재 main을 병합한 최종 변경에서 빌드·lint·단위 테스트·스크린샷을 재검증했습니다. 저장소 스크립트 테스트 303개 및 actionlint 통과. 경고 감소는 기본 브랜치 snapshot 반영 후 확인합니다.
실제 Spark 검토의 제안을 원본 그래프·Gradle API와 대조해, 해석 실패 보고와 debug runtime 비교 파일 보존에 반영했습니다. 루트에는 Netty/Logback 경로가 없음을 별도 보고서로 확인했습니다.
공식 변경·호환성 근거: Netty 패치, Logback 릴리스, Commons Lang, JDOM, jose4j 수정, HttpClient, Guava, Bouncy Castle, Kotlin 수정.