# Versions- und Abhängigkeitsprüfung 0.6.0

Prüfdatum: 2026-08-27

## Ergebnis

Die Lokalisierungs-, Einheiten- und Lizenzänderungen verwenden ausschließlich JDK-, Kotlin- und
Compose-APIs sowie projektinterne Ressourcen. Es wurde keine Produktions-, Build- oder
Laufzeitabhängigkeit ergänzt oder aktualisiert. Die offiziellen Veröffentlichungsquellen wurden am
Prüftag erneut mit dem maschinellen Gradle-Bericht
`security/reports/0.6.0/dependency-updates.json` abgeglichen.

| Komponente | Verwendet | Geprüfter stabiler Stand | Entscheidung | Offizielle Quelle |
| --- | --- | --- | --- | --- |
| Gradle | 9.7.1 | 9.7.1 | beibehalten; Wrapper und Prüfsumme unverändert | https://gradle.org/releases/ |
| Kotlin | 2.4.10 | 2.4.10 | beibehalten | https://kotlinlang.org/docs/releases.html |
| Kotlin Coroutines | 1.11.0 | 1.11.0 | beibehalten | https://github.com/Kotlin/kotlinx.coroutines/releases/tag/1.11.0 |
| Compose Multiplatform | 1.12.0 | 1.12.0 | beibehalten | https://github.com/JetBrains/compose-multiplatform/releases/tag/v1.12.0 |
| Material3 | 1.9.0 | 1.9.0 | beibehalten; Gradle-Bericht ohne stabile Aktualisierung | https://maven.pkg.jetbrains.space/public/p/compose/dev/org/jetbrains/compose/material3/material3/ |
| Mapsforge Reader/Writer | 0.29.0 | 0.30.0 | beibehalten; getrennte Reader-/Writer-/POI-Migration erforderlich | https://github.com/mapsforge/mapsforge/releases/tag/0.30.0 |
| SQLite JDBC | 3.53.2.0 als Writer-Bundle-Metadatum | 3.53.4.0 | nicht isoliert überschreiben; Bestandteil des verifizierten Mapsforge-Fat-JARs | https://github.com/xerial/sqlite-jdbc/releases |
| JTS | 1.20.0 | 1.20.0 | beibehalten | https://github.com/locationtech/jts/releases/tag/jts-1.20.0 |
| Osmosis | 0.49.2 | 0.49.2 | beibehalten | https://github.com/openstreetmap/osmosis/releases/tag/0.49.2 |
| OSM Binary | 1.6.1 | 1.6.1 | beibehalten | https://github.com/openstreetmap/osmosis-osm-binary/releases/tag/1.6.1 |
| CycloneDX Gradle Plugin | 3.4.1 | 3.4.1 | beibehalten | https://plugins.gradle.org/plugin/org.cyclonedx.bom |
| Gradle Versions Plugin | 0.61.0 | 0.61.0 | beibehalten | https://plugins.gradle.org/plugin/io.github.ben-manes.versions |
| OSV-Scanner | 2.5.1 | 2.5.1 | beibehalten | https://github.com/google/osv-scanner/releases/tag/v2.5.1 |
| Microsoft OpenJDK | 25.0.4.1 LTS | 25.0.4.1 LTS | beibehalten; Windows- und Linux-Werkzeugkette erfasst | https://learn.microsoft.com/java/openjdk/download |
| Android Studio | 2026.1.3 Patch 1 | 2026.1.3 Patch 1 | beibehalten; IDE nur Entwicklungswerkzeug | https://developer.android.com/studio/releases |

## Kompatibilitätsentscheidung

Der Gradle-Bericht nennt neuere Versionen für Guava, JAXB, FastInfoset,
Error-Prone-Anmerkungen, SQLite JDBC und weitere Einträge unter
`bundledRuntimeMetadata`. Diese Klassen stammen aus den offiziellen, per SHA-256 verifizierten
Mapsforge-0.29.0-Writer-Fat-JARs. Einzelne Maven-Versionen daneben zu legen würde die enthaltenen
Klassen nicht zuverlässig ersetzen und könnte doppelte oder binär inkompatible Klassen erzeugen.
Sie bleiben daher bis zur getrennten Mapsforge-0.30.0-Migration unverändert und werden vollständig in
SBOM und OSV-Prüfung erfasst.

Mapsforge 0.30.0 verändert Reader-, Writer- und POI-Verhalten. Die Migration wird nicht mit der
Oberflächenlokalisierung vermischt und benötigt reale v4/v5-Map- sowie v3/v4-POI-Roundtriptests.

## Security-Gate

Die CycloneDX-SBOMs für Windows x64 und Linux x64 erfassen jeweils 233 Komponenten. OSV-Scanner 2.5.1
meldet für beide Plattformen keine bekannten Schwachstellen. Es besteht keine Ausnahmeentscheidung;
`security/vulnerability-exceptions.json` bleibt leer.
