보안성심의 오픈소스 조치

build.gradle

@@ -51,7 +51,14 @@ dependencies {
 
     api 'commons-collections:commons-collections:3.2.2'
 
-	api 'org.apache.poi:poi-excelant:3.9'
+	// poi-excelant -> poi-ooxml -> dom4j:dom4j:1.6.1 (구 groupId) 전이 차단.
+	// 1.6.1 은 XXE(CVE-2020-10683) / XML 인젝션(CVE-2018-1000632) 대상이고,
+	// 소스의 org.dom4j 사용처(HttpClient*AdapterServiceRest 등의 SAXReader)는
+	// hibernate-envers 가 가져오는 org.dom4j:dom4j:2.1.3 과 패키지가 같아 그대로 동작한다.
+	// 두 jar 가 공존하면 WEB-INF/lib 로딩 순서에 따라 1.6.1 이 선택될 수 있으므로 제거한다.
+	api ('org.apache.poi:poi-excelant:3.9') {
+		exclude group: 'dom4j', module: 'dom4j'
+	}
 	
 	api group: 'org.apache.commons', name: 'commons-pool2', version: '2.11.1'
     api 'commons-codec:commons-codec:1.15'