릴리즈

Backstage v1.53.0은 SSE MCP 전송 제거, config-loader 타입 검증 강화, OAuth 리다이렉트 URI 검증 강화, OpenAPI 도구 전환(Optic → oasdiff) 등 다수의 주요 변경을 포함한 기능 릴리스입니다. 보안 수정은 없으나 7개의 주요 breaking change가 있으므로 마이그레이션이 필요합니다. 동시에 13개 이상의 버그 수정과 Breadcrumbs 프레임워크 추가, CIMD 구성 안정화 등의 개선사항이 포함되어 있습니다.

• breakingSSE MCP 전송 제거

  SSE 기반 MCP 전송이 제거되었습니다. `@backstage/plugin-mcp-actions-backend`를 사용 중이라면 스트리밍 엔드포인트 기반 구현으로 마이그레이션하세요.

• breakingconfig-loader 타입 검증 강화

  TypeScript로 선언된 구성 스키마가 이제 `@backstage/config-loader`에서 임포트된 타입을 검증합니다. 이전에는 검증되지 않던 타입이 로드 실패를 일으킬 수 있으므로, 스키마의 타입 임포트를 확인하세요.

• breakingOAuth 리다이렉트 URI 검증 강화

  `@backstage/plugin-auth-backend`의 OAuth 리다이렉트 URI 검증이 더 엄격해졌습니다. 와일드카드가 호스트와 경로 경계를 넘지 않으며, `http://localhost:*`는 이제 루트 경로만 매칭합니다. 모든 경로를 허용하려면 `http://localhost:*/*`로 변경하세요. 임베드된 자격증명을 포함한 리다이렉트 URI는 거부됩니다.

• breakingEntityContextMenuItemBlueprint API 변경

  Catalog 플러그인의 `EntityContextMenuItemBlueprint` API가 변경되었습니다. 렌더링된 MUI 요소 대신 메뉴 항목 데이터를 출력하며, `icon` 타입이 `IconElement`로 변경되었습니다. 해당 API를 사용 중이라면 코드를 업데이트하세요.

• breaking프록시 에이전트 부트스트랩 제거

  `@backstage/cli-common`에서 `bootstrapEnvProxyAgents`가 제거되었으며 `global-agent` 및 `undici` 의존성이 삭제되었습니다. 수동으로 프록시 에이전트를 부트스트랩하려면 `NODE_USE_ENV_PROXY` 환경 변수를 사용하세요.

• breakingOpenAPI 도구: Optic에서 oasdiff로 전환

  `@backstage/repo-tools`에서 Optic이 oasdiff로 대체되었습니다. OpenAPI 주요 변경 감지 스크립트가 oasdiff를 사용하도록 업데이트하세요.

• breakingOpenAPI 스키마 명령 및 함수 제거

  `package schema openapi init`, `repo schema openapi test` 명령과 `wrapInOpenApiTestServer` 함수가 제거되었습니다. 런타임 검증은 `@backstage/backend-openapi-utils/testUtils`의 `wrapServer`로 대체되어 있습니다.

Flux v2.9.2는 v2.9.1에서 도입된 회귀를 고친 루틴 패치로, openapi.path가 URL을 가리킬 때 Kustomization 재조정이 실패하던 문제를 해결하고 여러 CRD 설명을 정정했습니다.

Argo CD 3.4.5는 SSA 인증 재조정, 동기화 및 UI 회귀, Dex 설정 문제를 포함한 여러 버그를 수정한 정기 패치입니다.

Tekton v1.6.5는 Go 도구체인을 1.25.10으로 올려 포함된 CVE를 수정한 보안 패치입니다. 기능 변경이나 호환성 문제는 없습니다.

• securityGo 1.25.10 CVE 수정

  Go 1.25.10은 여러 CVE를 수정합니다. Tekton v1.6.5로 업그레이드하여 빌드 환경의 보안을 최신화하세요.

Tekton v1.9.6은 Go와 golang.org/x/crypto, golang.org/x/net의 버전을 올려 알려진 보안 취약점을 고친 보안 패치입니다. 또한 빌드 위생성 개선으로 kodata의 LICENSE 심볼릭 링크를 실제 파일로 대체했습니다.

• securityGo 및 암호화·네트워크 라이브러리 CVE 수정

  Tekton v1.9.6은 Go를 1.25.10으로, golang.org/x/crypto를 v0.52.0으로, golang.org/x/net을 v0.55.0으로 올려 의존성의 알려진 취약점을 수정했습니다. v1.9.6으로 업그레이드하면 이 수정이 적용됩니다.

Flux v2.9.1은 post-build 변수 치환이 Flux CRD 스키마를 손상시킬 수 있던 중대 버그를 고친 패치 릴리스입니다. SOPS .ini 복호화와 드라이런 병합 패치 오류도 함께 수정되었으며, 새로운 기능 변경이나 보안 취약점은 없습니다.

• breakingCRD 스키마 손상 버그 수정

  post-build 변수 치환이 활성화된 Kustomization에서 ${...} 패턴이 Flux 자체의 CRD 스키마 필드와 일치하면 CRD가 손상될 수 있었습니다. v2.9.1에서는 `kustomize.toolkit.fluxcd.io/substitute: disabled` 주석으로 Flux CRD를 보호하도록 수정했습니다. post-build 치환을 사용 중이라면 업그레이드하세요.