build: 런타임 의존성 보안 업데이트

[Seongbin-Choo]

문제

기존 런타임은 보안 수정 전 Tomcat 11.0.22와 MariaDB Connector/J 3.5.8을 사용했습니다. 포트폴리오용 셀프호스팅 프로젝트라도 알려진 취약 버전을 배포 아티팩트에 남기지 않도록 패치가 필요했습니다.

판단

• 메이저 업그레이드 대신 Spring Boot 4.1 계열의 최소 패치인 4.1.1로 올렸습니다.
• MariaDB Connector/J는 Spring Boot BOM이 관리하는 3.5.10을 그대로 사용해 의존성 정렬을 유지했습니다.
• Spring Boot 4.1.1의 Tomcat 기본값은 11.0.24라서, 2026년 보안 수정이 포함된 11.0.25만 BOM 속성으로 명시적으로 재정의했습니다.
• 소스에서 사용되지 않는 Gson 직접 의존성은 공격 표면과 관리 대상을 줄이기 위해 제거했습니다.

결과

• Spring Boot 4.1.1
• Tomcat embed core/el/websocket 11.0.25
• MariaDB Connector/J 3.5.10
• Gson 런타임 제거

검증

• ./gradlew test --rerun-tasks bootJar 성공
  • 61개 중 58개 통과, 환경 조건부 3개 제외, 실패 0개
• dependencyInsight로 실제 런타임 버전 확인
• Docker 이미지 빌드 성공
• MariaDB 11.4 신규 DB에서 Flyway V1~V6 적용 성공
• Compose 헬스체크 및 /api/v1/health 응답 UP 확인
• git diff --check 통과

영향

API·DB 스키마·환경변수 변경은 없습니다.