Activity

1. RosieOh

   added the

   Task

   issue type on Aug 4, 2026
2. RosieOh

   added a parent issue on Aug 4, 2026

   • [후속] CareCode 검토 제안 실행 트래킹 #40
3. RosieOh commented on Aug 10, 2026

   

   RosieOh

   on Aug 10, 2026

   ContributorAuthor

   More actions

   Trivy 로 대응하고 있어 별도 OWASP Dependency-Check 는 넣지 않기로 합니다.

   .github/workflows/ci-cd.yml 의 Security Scan 잡이 두 단계로 돕니다.

   1. SARIF 리포트 생성 → GitHub Security 탭 업로드 (여기서는 실패시키지 않음)
   2. CRITICAL/HIGH 이면 파이프라인 실패 — exit-code 를 지정하지 않으면 취약점이 나와도 통과해 스캔이 장식이 됩니다

   Trivy scan-type: fs 는 Gradle 의존성 트리를 읽어 CVE 를 검사하므로 Dependency-Check 와 목적이 같습니다. 둘을 함께 돌리면 같은 CVE 를 두 번 보고받고 오탐 억제 목록도 두 벌 관리해야 합니다.

   여기에 더해 CodeQL(codeql.yml)이 소스 레벨 취약점을 봅니다.

   별개로 이번에 쓰지 않는 의존성을 찾았습니다. asciidoctorj/asciidoctorj-pdf 가 implementation 으로 선언돼 실행 jar 에 들어가는데 사용처가 0건입니다. 스캔 대상 표면을 줄이는 차원에서도 정리가 필요해 #33 에서 처리합니다.
4. RosieOh

   closed this as completedon Aug 10, 2026