🔧 chore: Renovate 오픈 PR 4건 통합 승격 (java-jwt·spotless·foojay·github-actions)

[GulSauce]

개요

Renovate 오픈 PR 5건을 판정하고 4건을 단일 커밋으로 통합 승격한다 (#309는 #311이 상위 semver로 흡수).
스파이크 결과 계단식 실패 0회 — breaking change 대응 코드 수정 없이 GREEN.

결정 매트릭스

PR	대상	결정	근거
#307	claude-code-action digest (v1 유지)	MERGE_NOW	CI 워크플로만 영향
#308	java-jwt 4.5.0→4.6.0	MERGE_NOW	회귀 테스트 포함 build GREEN
#309	spotless 7.2.1 / foojay 0.10.0	#311에 흡수	같은 라인 MAJOR 채택 (상위 semver 원칙)
#310	github-actions 9종 MAJOR	CONDITIONAL	입력 호환 확인 완료, 배포 경로는 다음 배포에서 관찰
#311	spotless 8.8.0 / foojay 1.0.0 MAJOR	MERGE_NOW	스파이크 실패 0회

Renovate PR 5건은 close하지 말 것 — 본 PR이 develop에 병합되면 봇이 superseded로 auto-close한다.

패치노트

반영 버전 요약

컴포넌트	이전	신규	Semver
com.auth0:java-jwt	4.5.0	4.6.0	MINOR
jackson (java-jwt 전이, 런타임만)	2.21.4	2.22.0	MINOR
spotless (Gradle plugin)	7.0.4	8.8.0	MAJOR
foojay-resolver-convention	0.8.0	1.0.0	MAJOR
actions/checkout	v4	v7	MAJOR
actions/setup-java	v4	v5	MAJOR
gradle/actions/setup-gradle	v4	v6	MAJOR
actions/create-github-app-token	v1	v3	MAJOR
actions/configure-pages	v5	v6	MAJOR
actions/upload-pages-artifact	v3	v5	MAJOR
actions/deploy-pages	v4	v5	MAJOR
appleboy/scp-action	v0.1.7	v1.0.0	MAJOR
appleboy/ssh-action	v0.1.10	v1.2.5	MAJOR
anthropics/claude-code-action	digest 2fee155	digest af0559e (v1 유지)	digest

google-java-format은 1.25.2 핀 유지 (catalog 명시) — 재포맷 diff 0건의 근거.

---

java-jwt 4.5.0 → 4.6.0 (MINOR)

개선

1. PS256 (RSASSA-PSS) 알고리즘 지원 추가 (#788)
   — 우리는 HMAC 계열 사용 중이라 즉시 영향 없음, 향후 비대칭 서명 전환 시 선택지 확대
2. NumericDate 클레임의 범위 초과 값을 비숫자 값과 구분해 리포트 (#774)
   — exp/iat 파싱 실패 시 원인 진단이 명확해짐

전이 의존성 변화

• jackson-bom 2.21.4 → 2.22.0 (java-jwt가 끌어올림)
• runtimeClasspath만 2.22.0, compileClasspath는 Boot BOM의 2.21.4 유지 (lockfile에서 확인)
• 부팅 회귀 테스트(ApplicationContextBootTest, MOCK 웹 환경) GREEN — 역직렬화 설정 로드 이상 없음

손실·비용

• 없음

---

Spotless 7.0.4 → 8.8.0 (MAJOR)

8.0.0의 breaking change와 우리 영향

Breaking (8.0.0~8.1.0)	우리 영향
최소 Gradle 8.1 / Java 17 요구	없음 (Gradle 8.14.3 / JDK 21)
removeWildcardImports → forbidWildcardImports rename	없음 (미사용)
spotlessInstallGitPrePushHook 루트 프로젝트 전용화	없음 (자체 .githooks/ 사용)
ktlint 1.0 미만 지원 제거, ktfmt 옵션 변경	없음 (Kotlin 미사용)
기본 google-java-format 1.24 → 1.28 상향	없음 (catalog에서 1.25.2 명시 핀)

계단식 실패 0회 — compile·test·spotlessCheck 전부 GREEN, 재포맷 diff 0건.

개선

1. Eclipse 계열 포매터 P2 의존성 캐싱 (8.2.1) — 대형 멀티모듈 설정 단계 OOM·저속 해소
2. 코어 포매터 루프의 스텝별 line-ending 정규화 중복 제거 (8.6.0) — 포맷 성능 개선
3. JGit 6.10 → 7.3 (8.0.0) — git worktree 지원 (ratchetFrom 사용 시 워크트리에서도 동작; 에이전트팀 워크트리 운용과 정합)
4. licenseHeader git log 셸 인젝션 제거 (8.5.1) — 보안 수정
5. isolated projects 부분 지원 (8.3.0), TaskProvider 지연 생성 (8.1.0) — 설정 단계 비용 감소
6. versionCatalog() TOML 포맷 스텝 신설 (8.5.0) — libs.versions.toml 정렬·포맷 자동화 후속 도입 가능

손실·비용

• spotlessCheck 위반 시 에러 메시지가 Run './gradlew spotlessApply' ...로 일원화 (8.0.0) — 동작 변화 아님

---

Foojay resolver 0.8.0 → 1.0.0 (MAJOR)

개선 (CHANGELOG 1.0.0·0.10.0·0.9.0)

1. 의존성 셰이딩 — 다른 Gradle 플러그인과의 클래스패스 충돌 가능성 제거
2. deprecated JvmVendorSpec.IBM_SEMERU 참조 제거 — Gradle 9 호환 준비
3. nativeImageCapable 툴체인 criteria 지원 (0.10.0), macOS ARM64 폴백 (0.9.0) — 0.8.0 대비 흡수분

손실·비용

• 플러그인이 Java 17 컴파일로 전환 → 실행에 Java 17+ 필요. 우리 빌드는 JDK 21이라 영향 없음
• settings.gradle의 TOML 정규식 파싱은 버전 문자열만 갱신 — 파싱 로직 무변

---

GitHub Actions 일괄 승격

공통: Node 24 런타임 전환

checkout v5·setup-java v5·setup-gradle v5·create-github-app-token v3·configure-pages v6·deploy-pages v5가
모두 Node 24 전환이 골자. 최소 러너 v2.327.1 요구 — 우리는 GitHub-hosted ubuntu-latest만 사용하므로 충족.

actions/checkout v4 → v7

• v6: 자격증명을 별도 파일에 보존 (기존 git config 내 저장 대비 격리 강화)
• v7: pull_request_target·workflow_run 이벤트에서 fork PR 체크아웃 차단 (보안 강화), ESM 전환
  — 우리 워크플로는 해당 이벤트에서 fork PR을 체크아웃하지 않음 (renovate PR은 same-repo 브랜치)

gradle/actions/setup-gradle v4 → v6 ⚠️ 라이선스 조건 변화

• v6에서 캐싱 기능이 비공개 컴포넌트 gradle-actions-caching으로 분리 — MIT가 아니라
  Gradle Terms of Use 적용. v6 사용 = 캐싱 컴포넌트 약관 수락
  (캐싱 비활성화 시 해당 컴포넌트 미로드)
• 기존의 미완성 configuration-cache 지원 제거 (후속 재구현 예정) — 우리는 config-cache 미사용이라 영향 없음

actions/create-github-app-token v1 → v3

• v2: snake_case 입력(app_id/private_key/skip_token_revoke) 삭제 — 우리는 이미 app-id/private-key 사용 중이라 무영향
• v3: 프록시 사용 시 NODE_USE_ENV_PROXY=1 필요 — 프록시 미사용, 무영향

Pages 3종 (ci-update-api-docs)

• upload-pages-artifact v4에서 dotfile 기본 제외 (breaking), v5에서 include-hidden-files 입력 추가
  — 우리는 docs/api (OpenAPI 정적 산출물) 업로드라 dotfile 불요, 무영향
• configure-pages v6·deploy-pages v5는 Node 24 전환 위주

appleboy scp/ssh 0.x → 1.x (배포 경로)

• scp v1.0.0: composite action 전환 + drone-scp 동적 다운로드 (기존 Docker 컨테이너 방식 탈피 → 스텝 기동 빠름)
• ssh v1.x: 동일하게 Dockerfile 제거·drone-ssh 갱신, v1.2.0에서 파일 기반 스크립트 실행 지원
• 입력 호환 확인: 사용 중인 host/username/key/source/target/strip_components/debug/script 전부 v1.x 유지,
  삭제된 script_stop은 미사용

---

배포 후 관찰이 필요한 잔여 조건 (CONDITIONAL 검증 트리거)

항목	검증 시점	확인 내용
appleboy scp/ssh v1.x	다음 운영 배포 (cd-prod_deploy)	파일 전송·blue-green 스위칭 정상 완료
setup-gradle v6 캐싱	다음 CI 실행	캐시 hit 정상 여부 + 라이선스 배너 확인
upload-pages-artifact v5	다음 API 문서 배포	GitHub Pages 산출물 누락 없음

검증 (로컬 완료분)

• ./gradlew build GREEN (부팅 회귀 ApplicationContextBootTest·PdfUtilsTest 포함)
• ./gradlew spotlessCheck GREEN — spotless 8.8.0 + google-java-format 1.25.2 재포맷 diff 0건
• ./gradlew resolveAndLockAll --write-locks — PR 반영분 외 추가 drift 없음
• buildEnvironment로 spotless 8.8.0 실적용 확인

남은 후속 티켓 후보

1. google-java-format 1.25.2 핀 상향 검토 — spotless 8.x 기본은 1.28+. 상향 시 재포맷 diff가 발생하므로 별도 커밋으로 격리 필요
2. spotless versionCatalog() 스텝 도입 검토 — libs.versions.toml 자동 정렬·포맷
3. setup-gradle v6 라이선스 정책 팀 공유 — 캐싱 컴포넌트 약관 수락 사실의 기록·합의

---

🤖 Generated with Claude Code