fix: 서버와 규칙 테스트의 npm 의존성을 패치한다

[OnlyReadOneBook]

📌𝘐𝘴𝘴𝘶𝘦𝘴

• closed fix: 서버와 규칙 테스트의 npm 의존성을 패치한다 #225
• Refs fix: 공유 일정 서버 알림의 삭제와 전송 경계를 검증한다 #195

남은 stream-json 호환 패치는 #230에서 추적합니다.

📎𝘞𝘰𝘳𝘬 𝘋𝘦𝘴𝘤𝘳𝘪𝘱𝘵𝘪𝘰𝘯

• 서버와 Firestore 규칙 테스트의 취약한 전이 의존성을 호환 패치로 교체하고, 미사용 테스트 라이브러리를 제거합니다.

functions

• uuid 를 11.1.1 로 고정했다. 이 트리의 uuid 소비자는 firebase-admin(eventarc-utils), gaxios, google-gax, teeny-request 뿐이고 넷 다 v4 만 부른다. uuid 12.0.0 이 CommonJS 를 없앴으므로(CHANGELOG) CommonJS 로 도는 이 트리에서 올릴 수 있는 마지막 패치 판이 11.1.1 이다. 권고는 GHSA-w5hq-g745-h8pq(CVE-2026-41907, v3/v5/v6 이 외부 버퍼 경계를 검사하지 않는 문제).
• 기존 qs 6.16.0 고정은 그대로 두었다(fix: 공유 일정 서버 알림의 삭제와 전송 경계를 검증한다 #195).
• firebase-functions-test 를 devDependencies 에서 뺐다. 저장소 안에서 부르는 코드가 없고(참조는 functions/package.json 한 줄뿐이었다), 남겨 두면 패치 판이 없는 ts-deepmerge(GHSA-87mf-gv2c-c62c)만 딸려 온다. 패치는 8.0.0 뿐인데 v8 의 CommonJS 진입점은 merge 만 내보내고 default export 가 없어서, firebase-functions-test 가 lib/cloudevent/generate.js:51 에서 부르는 default 가 사라진다. 최신 3.5.0 도 여전히 ts-deepmerge ^2.0.1 이다. 함수 코드와 테스트는 그대로다.

firestore-tests

• overrides 를 새로 두고 네 가지를 고정했다.
  • csv-parse 7.0.2 — GHSA-8cw4-87c7-c6xx. firebase-tools 는 commands/auth-import.js 에서 require("csv-parse") 의 parse() 를 옵션 없이 한 번 부르는 게 전부라, 6.0.0 이 바꾼 옵션 이름(relax → relax_quotes 등)·오류 코드 이름·csv-parse/lib/sync 경로 변경에 걸리지 않는다. 7.0.0 은 저자 표기대로 breaking change 없는 실수 배포다.
  • qs 6.16.0 — GHSA-x5fp-wj9c-mxmx, GHSA-4mjr-xmp4-gh2g. 에뮬레이터 허브가 얹혀 있는 express 4.22.2 경로이고, functions 쪽에서 이미 같은 판으로 돈다.
  • @opentelemetry/core 2.8.0 — GHSA-8988-4f7v-96qf. @google-cloud/pubsub 5.3.1 이 ^1.30.1 을 적지만, firebase-tools 15.29.0 자신의 overrides 가 @opentelemetry/core: ^2.8.0 을 박아 둔다. 같은 조합을 따랐고 모듈 적재를 테스트로 잠갔다.
  • gaxios 밑의 uuid 11.1.1 — functions 와 같은 권고다. 전역이 아니라 gaxios 범위로 좁혀, 이미 패치 판(14.0.2)을 쓰는 universal-analytics 를 끌어내리지 않게 했다.
• firebase-tools 는 15.29.0 그대로다. 15.30.0 도 csv-parse ^5.0.4, stream-json ^1.7.3, gaxios ^6.7.0 이라 이 권고들과 무관하다.

회귀 가드

• functions/test/runtime.test.cjs 에 uuid 버퍼 경계와 CommonJS v4 두 건을 더했다.
• firestore-tests/tooling.test.mjs 를 새로 뒀다(csv-parse 진입점, qs 배열 한도, uuid 버퍼 경계, pubsub 적재). 모듈은 루트가 아니라 소비하는 패키지의 require 문맥에서 고른다(csv-parse·pubsub 은 firebase-tools, uuid 는 gaxios, qs 는 express). 호이스팅된 루트 사본만 보면 소비자 밑에 중첩된 취약 사본이 가려지기 때문이고, node_modules/gaxios/node_modules/uuid 에 9.0.1 을 심어 두면 루트가 11.1.1 이어도 uuid 가드가 실제로 실패하는 것을 확인했다.

남은 권고 하나

stream-json GHSA-528h-pc64-c93x (firestore-tests, dev 전용)는 실행을 깨지 않고 올릴 판이 없다. 패치 3.5.0 은 ESM 전용이고 exports 맵이 "./*": "./src/*" 라 firebase-tools 가 쓰는 깊은 CommonJS 경로(stream-json/filters/Pick, streamers/StreamArray, filters/Filter, streamers/StreamObject)가 풀리지 않는다. 실제로 요구해 보면 MODULE_NOT_FOUND 이고, 1.x·2.x 에는 패치가 없다. 해제 조건은 firebase-tools 가 stream-json 3.5 이상으로 올라오는 것이며 15.30.0 까지는 아직 ^1.7.3 이다.

📷𝘚𝘤𝘳𝘦𝘦𝘯𝘴𝘩𝘰𝘵

UI 변경이 없다.

💬𝘛𝘰 𝘙𝘦𝘷𝘪𝘦𝘸𝘦𝘳𝘴

• 검증은 두 디렉터리를 지우고 lockfile 로 clean install 한 뒤 돌렸다. functions: npm ci --ignore-scripts → npm run lint(0건) → npm test(4/4) → node --test .github/scripts/functions-notification.test.mjs(11/11). firestore-tests: npm ci → npm test(로컬 Firestore 에뮬레이터, 규칙·트랜잭션·도구 가드 66/66). CI 와 같은 Node 22.23.2 와 로컬 Node 25.6.1 양쪽에서 같은 결과다.
• npm audit: functions 10건 → 0건, firestore-tests 10건 → 2건(stream-json 과 그것을 무는 firebase-tools). Dependabot 경보 기준으로는 fix: 의존성 그래프 제출이 병렬 설정에서 간헐적으로 깨진다 #67, refactor: MainViewModel 을 화면별 MVI ViewModel 로 분해하고 일정을 Firestore 리스너로 받는다 #58, chore: Firestore 오프라인 캐시 설정을 setLocalCacheSettings 로 옮긴다 #71 이 닫히고 chore: lint 경고 정리 (템플릿 색상·web_client_id 미사용 리소스, POST_NOTIFICATIONS InlinedApi) #66 이 남는다. 경보를 dismiss 하거나 감사 워크플로를 손대지 않았다.
• 배포와 유료 기능은 건드리지 않았다. Maven 쪽 권고는 fix: 빌드·테스트 도구의 취약한 전이 의존성을 패치한다 #219·fix(build): org.apache.commons:commons-lang3 보안 권고 대응 필요 #226 몫이라 이 PR 에 없다.