🔧 chore: Renovate 오픈 PR 5건 통합 승격 (oci·google-cloud·httpclient5·spotless·hibernate·jib·actions)

[GulSauce]

Q-Asker API — 2026-09-10 Renovate 오픈 PR 통합 승격 변경점

커밋: 0864ba99 (단일 커밋), 25 files changed, +211 −203
브랜치: chore/deps-renovate-2026-09-10 → develop 병합 대기
작업 시간: 약 1시간 (MAJOR 없음, 소스 수정 0건, 계단식 실패 0회)
주도: 오픈 Renovate PR 5건 판정, 5건 모두 통합 반영 (#425, #424, #404, #309, #307)

---

목차

1. 반영 버전 요약
2. OCI Java SDK 3.90.0 → 3.95.1
3. google-cloud libraries-bom 26.84.0 → 26.88.0
4. httpclient5 5.6.2 → 5.6.4
5. Spotless 8.8.0 → 8.10.2
6. hibernate-orm 7.4.5 → 7.4.7.Final
7. Jib 3.5.3 → 3.5.4
8. GitHub Actions 다이제스트 핀 갱신
9. 전이 의존성 드리프트와 이미지 크기
10. 배포 후 관찰이 필요한 잔여 조건
11. 남은 후속 티켓 후보

---

반영 버전 요약

컴포넌트	이전	신규	Semver	Renovate PR
com.oracle.oci.sdk:* (objectstorage·common·httpclient-jersey3·circuitbreaker)	3.90.0	3.95.1	MINOR	#425
com.google.cloud:libraries-bom	26.84.0	26.88.0	MINOR	#424
com.google.cloud:google-cloud-storage (BOM 전이)	2.69.0	2.73.0	MINOR	#424 전이
com.google.cloud.tools.jib (Gradle 플러그인)	3.5.3	3.5.4	PATCH	#424
org.apache.httpcomponents.client5:httpclient5	5.6.2	5.6.4	PATCH	#404
com.diffplug.spotless (Gradle 플러그인)	8.8.0	8.10.2	MINOR	#309
org.hibernate.orm (플러그인 + platform + core)	7.4.5.Final	7.4.7.Final	PATCH	#309
actions/setup-java (v5 유지)	digest 03ad4de	digest b6effb0	digest	#307
gradle/actions/setup-gradle (v6 유지)	digest 3f131e8	digest 9c97196	digest	#307
actions/deploy-pages (v5 유지)	digest cd2ce8f	digest 368f825	digest	#307
anthropics/claude-code-action (v1 유지)	digest be7b93b	digest 19dda84	digest	#307
CI mysql:8.4 서비스 이미지	digest 8dbcf53	digest 3466ba4	digest	#307

결정: 전건 MERGE_NOW. MAJOR 없음 → Phase 2 스파이크는 병합 검증 1회로 축약.
병합 방식: 스파이크 브랜치에 5건을 semver 오름차순 병합 → 카탈로그가 충돌 없이 합집합으로 자동 병합됨
(각 PR이 서로 다른 라인을 건드림) → resolveAndLockAll --write-locks 재생성 → 단일 커밋 squash.

아티팩트 존재 사전 검증: 승격 대상 8종을 Maven Central 로 확인. Gradle 플러그인 2종
(hibernate-gradle-plugin, jib-gradle-plugin)은 Central 에서 404 였으나 이는 좌표 오인이며,
플러그인 마커는 Gradle Plugin Portal(plugins.gradle.org/m2)에 정상 존재(HTTP 200). REWAIT 케이스 없음.

---

OCI Java SDK 3.90.0 → 3.95.1 (MINOR)

사용 모듈: oci-java-sdk-objectstorage, -objectstorage-generated, -objectstorage-extensions,
-common, -common-httpclient, -common-httpclient-jersey3, -circuitbreaker (전부 oci 버전 참조).

개선점 (릴리즈 노트 실인용, 3.91.0~3.95.1 누적):

• 3.95.1 — Cluster Health 서비스 지원, Autonomous Database Serverless 유지보수 창 스케줄/취소,
  BaseDB quick launch, OCI IoT Flow Runtime(Node-RED) 리소스 지원 추가.
• 3.95.0 — MySQL HeatWave 블루/그린 배포, Big Data 용량 예약, Autonomous Recovery 서브넷 ZPR 보안 속성,
  Networking VTAP 소스로 network firewall, Generative AI NL2SQL 모델 선택·주석·백그라운드 모드,
  B200/B300/L40S/MI300X 전용 AI 클러스터 shape 추가.

손실 / 주의:

• 3.95.0 에 Breaking Changes 절이 있으나 전부 com.oracle.bmc.generativeaidata.* 클래스 제거
  (CancelEnrichmentJob, GenerateEnrichmentJob, GenerateSqlFromNlJob, GetEnrichmentJob 및 각 Client$Builder/Waiters).
  Q-Asker 는 Object Storage 만 사용하므로 무영향 — 컴파일·부팅 모두 GREEN 으로 실증됨.
• 위 신규 기능은 전부 우리가 호출하지 않는 서비스 영역이라 실질 이득 없음. 이번 승격의 값어치는
  기능이 아니라 SDK 라인을 최신에 붙여 다음 승격 폭을 좁히는 데 있다.

---

google-cloud libraries-bom 26.84.0 → 26.88.0 (MINOR)

사용처: quiz-ai-impl 의 GCS 클라이언트(GcsClientConfig, GeminiFileServiceImpl) — 첨부 문서 업로드용.
BOM 이 루트 build.gradle 의 implementation platform(libs.google.cloud.bom) 으로 전 모듈에 깔린다.

개선점 (libraries-bom 릴리즈 노트 중 storage 항목 실인용):

• 26.86.0 — appendable upload 종료 시 체크섬 허용, Otel 의 App-Centric Observability(ACO) 지원,
  BidiAppendableUpload takeover 동작 수정, JSON patch 업데이트에서 명시적 null 을 올바로 삽입.
• 26.87.0 — resumable write·read channel 의 StorageObject 직렬화를 JsonUtils 로 통일.
• 26.88.0 — java-storage 의 GraalVM Native Image 테스트 실패 해소.

손실 / 주의:

• 제거된 아티팩트: google-cloud-spanner-jdbc(26.85.1), google-cloud-apigee-registry(26.86.0),
  google-cloud-datacatalog·google-cloud-datalabeling(26.88.0). 전부 미사용 — 무영향.
• storage 2.69→2.73 은 우리가 쓰는 단순 업로드/다운로드 경로에 동작 변화가 없다. 위 수정들은
  appendable/bidi upload·Otel·GraalVM 경로에 국한된다.

---

httpclient5 5.6.2 → 5.6.4 (PATCH)

사용처: quiz-make-impl 단일 모듈(implementation libs.httpclient5).

개선점 (Apache RELEASE_NOTES.txt 실인용):

• 5.6.3 — ContentCompressionExec 가 예기치 못한 런타임/프로토콜 예외 시 하위 응답 스트림을 닫지 않던
  리소스 관리 결함 수정. only-if-cached 요청이 캐시로 처리 불가할 때 백엔드를 호출하지 않도록 수정
  (RFC 9111 5.2.1.7). 리다이렉트 same-authority 검사에 요청 scheme 포함. RFC 7578 multipart 파라미터의
  따옴표 이스케이프·개행 제거. HTTPCLIENT-2426 — 폐기된(null) 응답 바디를 content decoder 로 감싸지 않음.
• 5.6.4 — BearerScheme 가 bearer 토큰의 제어 문자를 거부. async TLS 업그레이드 시 SSL 파라미터 적용 교정.

손실: 없음. 순수 유지보수 릴리즈이며 5.6.3 의 스트림 누수 수정은 우리에게 직접 이득.

---

Spotless 8.8.0 → 8.10.2 (MINOR)

개선점 (gradle/8.10.0 · 8.10.1 · 8.10.2 릴리즈 노트 실인용):

• 8.10.0 — shortenFullyQualifiedTypes() 스텝 신규. removeUnusedImports 가 Java import module 선언에서
  실패하지 않음. 병렬 멀티프로젝트 빌드에서 eclipse() 사용 시 간헐 실패("ConfigurationCacheHackList cannot be
  serialized" / "Failed to provision P2 dependencies") 해소. spotlessCheck 위반 메시지가 올바른 태스크 경로를 안내.
• 8.10.1 — npm 12 에서 prettier() 등 npm 기반 스텝 기동 실패(EUNKNOWNCONFIG) 해소.
  targetExclude 가 Gradle Directory/DirectoryProperty 를 받아 실제로 제외(이전엔 단일 파일로 취급돼 조용히 무시).
• 8.10.2 — shortenFullyQualifiedTypes() 가 정적 메서드 호출·정적 필드·enum 상수 등 표현식 문맥의
  정규화 타입까지 축약. lombok 이 JVM 에이전트로 활성일 때 Eclipse JDT 스텝의 NoClassDefFoundError 해소.

손실 / 주의:

• 8.10.0 의 Changes 절: "google-java-format 기본값은 JVM 17 에서 1.28.0 유지, JVM 21+ 에서 1.30.0 으로 상향,
  JVM 25+ 에서는 import module 지원을 위해 최소 1.30.0 필요".
  우리는 googleJavaFormat(libs.versions.google.java.format.get()) 로 1.25.2 를 명시 고정하고 JDK 25 로 빌드한다.
  즉 기본값 상향의 영향은 받지 않지만, import module 선언을 코드에 도입하면 포맷 스텝이 깨질 수 있다
  (현재 코드에 import module 없음, spotlessCheck GREEN). 아래 잔여 조건에 등록.
• 우리가 쓰는 스텝은 googleJavaFormat·removeUnusedImports·endWithNewline·trimTrailingWhitespace 4종뿐이라
  신규 스텝·Eclipse/P2·npm 관련 수정은 실질 이득 없음. 포맷 결과 변화 0건(spotlessCheck GREEN, 재포맷 발생 안 함).

---

hibernate-orm 7.4.5 → 7.4.7.Final (PATCH)

이 승격이 런타임까지 번지는 이유: 루트 build.gradle:76-79 의
resolutionStrategy.eachDependency { if (group == 'org.hibernate.orm') useVersion(catalog) } 가
org.hibernate.orm 그룹 전체를 카탈로그 값으로 강제한다. 따라서 Gradle 플러그인 버전을 올리면
hibernate-core·hibernate-platform 런타임까지 7.4.7 로 함께 올라가며, Spring Boot 4.1 BOM 이 관리하는
Hibernate 버전을 덮어쓴다. 이번 사이클에서 회귀 리스크가 실재한 유일한 지점.

개선점: 7.4.6·7.4.7 은 Hibernate 팀 관례상 릴리즈 노트 본문에 변경 목록을 싣지 않고 JIRA 필터로 위임한다
(project = HHH AND fixVersion = 7.4.6 / 7.4.7). 즉 공표된 하이라이트 없음 = 순수 버그픽스 라인.

손실 / 주의:

• Boot BOM 관리 버전과 런타임 Hibernate 가 갈라진 상태가 유지된다(설계상 의도된 구조지만, Boot MINOR/MAJOR
  승격 시 두 버전이 동시에 움직이지 않는다는 점을 기억해야 한다).
• 바이트코드 인핸스먼트가 계속 붙는지 별도 검증: quiz-set-impl 의 Problem.class 에 $$_hibernate_* 멤버
  52개 유지, 대조군인 비대상 모듈 quiz-history-impl 의 QuizHistory.class 는 0개 — 적용 범위도 그대로.
• 전이 hibernate-models 1.1.1 → 1.1.2 동반 상승.

---

Jib 3.5.3 → 3.5.4 (PATCH)

개선점 (v3.5.4-gradle 릴리즈 노트 실인용): Jackson BOM 2.21.1 로 갱신,
manifest descriptor 의 알 수 없는 artifactType 필드를 무시(신형 레지스트리가 내려주는 필드로 인한 실패 방지).

손실: 없음.

CONDITIONAL 조건 검증 결과: 이전 사이클이 Jib 승격에 걸어둔 조건은 "이미지 재현성". ./gradlew jibDockerBuild
GREEN, 생성된 qasker/api:3.7.1 의 Created 가 1970-01-01T00:00:00Z 로 재현 가능 빌드 마커가 유지됨.
베이스 이미지 다이제스트 sha256:c0a548e6… 동일. → 조건 충족, MERGE_NOW 로 승격.

---

GitHub Actions 다이제스트 핀 갱신

태그(v1/v5/v6/v7)는 그대로 두고 다이제스트만 최신으로 재핀. 워크플로 5개 파일이 대상이며 Gradle 빌드에는 무영향.

액션	태그	이전 digest	신규 digest
actions/setup-java	v5	03ad4de	b6effb0
gradle/actions/setup-gradle	v6	3f131e8	9c97196
actions/deploy-pages	v5	cd2ce8f	368f825
anthropics/claude-code-action	v1	be7b93b	19dda84
mysql:8.4 (ci-pii-coverage 서비스)	8.4	8dbcf53	3466ba4

이 변경은 로컬에서 검증할 수 없다 — PR CI 가 유일한 검증 수단이므로 병합 전 CI 전건 GREEN 확인이 필요하다.

---

전이 의존성 드리프트와 이미지 크기

resolveAndLockAll --write-locks 재생성 결과, 카탈로그에 없는 전이 의존성이 함께 움직였다:

전이 의존성	이전	신규	출처
io.grpc:* (17개 모듈)	1.81.0	1.83.0	libraries-bom
com.google.guava:guava	33.5.0-jre	33.6.0-jre	libraries-bom
com.google.code.gson:gson	2.13.2	2.14.0	libraries-bom
com.google.auth:google-auth-library-*	1.48.0	1.52.0	libraries-bom
com.google.http-client:*	2.1.0	2.2.0	libraries-bom
com.google.api:gax(-grpc,-httpjson)	2.81.0	2.85.0	libraries-bom
org.conscrypt:conscrypt-openjdk-uber	2.5.2	2.6.2	libraries-bom
com.fasterxml.jackson:*(2.x 라인)	2.21.4	2.21.5	libraries-bom
org.hibernate.models:hibernate-models	1.1.1	1.1.2	hibernate-orm

신규로 클래스패스에 진입한 의존성 (productionRuntimeClasspath = 이미지에 실림):

신규 의존성	크기
dev.cel:common:0.13.0	272 KB
dev.cel:protobuf:0.13.0	399 KB
dev.cel:runtime:0.13.0	501 KB
org.threeten:threeten-extra:1.8.0	273 KB
합계	약 1.4 MB

Constitution V (Cost-Aware) 관점: 새 클라우드 리소스 없음. 컨테이너 이미지는 위 4개 jar 만큼
(약 +1.4MB) 커진다. 빌드된 qasker/api:3.7.1 총 크기 1,198,992,141 bytes (약 1.20 GB).
증가분은 전체의 0.12% 수준이라 배포·풀 시간에 유의미한 영향은 없다.

---

배포 후 관찰이 필요한 잔여 조건

1. CI 전건 GREEN — Actions 다이제스트 갱신(chore(deps): Update github-actions #307)은 로컬 검증 불가. PR 의
   ci-check-code-convention·ci-pii-coverage·ci-update-api-docs 가 모두 통과해야 승격이 완결된다.
   특히 ci-pii-coverage 의 mysql:8.4 다이제스트 교체는 컨테이너 기동 실패 형태로만 드러난다.
2. OCI Object Storage 실호출 — 로컬 부팅은 클라이언트 구성까지만 실증한다. SDK 3.95.1 로 실제
   업로드/다운로드가 도는지는 배포 후 첫 문서 업로드(/upload-doc)에서 확인해야 한다.
3. GCS 첨부 업로드 실호출 — 위와 동일. storage 2.73.0 으로 Gemini 파일 업로드 경로가 도는지
   배포 후 첫 퀴즈 생성에서 확인.
4. Spotless 의 google-java-format 하한 — Spotless 8.10.0 이 "JVM 25+ 에서 import module 지원에
   google-java-format 1.30.0 이상 필요"를 명시했다. 우리는 1.25.2 고정이므로 코드에 import module 선언을
   도입하는 순간 포맷 스텝이 깨진다. 도입 계획이 생기면 google-java-format 승격이 선행돼야 한다.
5. Hibernate 런타임/BOM 버전 분리 — eachDependency 강제 때문에 Boot BOM 이 관리하는 Hibernate 와
   실제 런타임(7.4.7)이 갈라져 있다. 다음 Boot MINOR/MAJOR 승격 시 이 강제 규칙을 함께 재검토해야 한다.

---

남은 후속 티켓 후보

• google-java-format 1.25.2 → 1.30.x 승격: Spotless 가 JVM 25+ 기준선을 1.30.0 으로 올렸다.
  현재는 명시 고정으로 회피 중이나, 고정값이 상류 기준선보다 5 마이너 뒤처져 있다.
  재평가 트리거 = import module 도입 필요 시, 또는 Spotless 다음 MINOR 승격 시.
• resolutionStrategy.eachDependency 로 인한 Hibernate 강제 재검토: 플러그인 버전이 런타임 버전을
  끌고 가는 현재 구조가 의도대로인지, Boot BOM 위임으로 바꿀지 결정.
  재평가 트리거 = 다음 Spring Boot MINOR 이상 승격.
• OCI SDK 승격 주기 축소: 3.90 → 3.95 로 5 마이너를 한 번에 건너뛰었다. 릴리즈가 주 단위로 나오는
  SDK 라 간격이 벌어질수록 breaking change 노출 면적이 커진다. Renovate 그룹 스케줄 조정 검토.