# Versions- und Abhängigkeitsprüfung 1.0.0

Prüfdatum: 2026-08-28
Verantwortung: ArxSilex-Projekt

## Ergebnis

Die Umstellung auf den ersten öffentlichen Release 1.0.0, der englische öffentliche Changelog und
die isolierte Release-Paketierung ändern keine Produktions- oder Laufzeitabhängigkeit. Der
maschinelle Bericht liegt unter `security/reports/1.0.0/dependency-updates.json`. Zusätzlich wurden
die offiziellen Veröffentlichungsquellen am Prüftag kontrolliert.

Der nachträgliche Mapsforge-Speicherfix ändert ebenfalls keine Abhängigkeit. Er verwendet den in
Mapsforge 0.29.0 vorhandenen HD-Prozessor für aus `.map` materialisierte Eingaben, behält den
RAM-Prozessor für geeignete direkte PBF-Eingaben bei und wiederholt einen RAM-Lauf nach einer
Heap-Erschöpfung einmal in einem frischen HD-Worker. Der paketierte Windows-Worker wurde mit einer
realen Hessen-PBF im HD-Modus geprüft; seine temporären Indizes blieben im projektlokalen
Sitzungsverzeichnis und wurden nach dem Test entfernt.

Die Worker-Starter-Erzeugung wurde außerdem vom Gradle-Build-Cache ausgenommen. Sie ergänzt ein
bereits von Compose erzeugtes App-Image und darf beim Wiederherstellen ihrer beiden eigenen
Ausgabedateien weder das Hauptprogramm noch die gebündelte JVM-Runtime verdrängen. Ein frischer
Windows-Paket-Build, ein nachfolgender erzwungener Testlauf und der reale Hessen-Export bestätigten,
dass Hauptstarter, Worker-Starter und `runtime/bin/server/jvm.dll` gemeinsam erhalten bleiben. Der
separate Linux-Paket-Build enthält entsprechend beide Starter und `lib/runtime/lib/server/libjvm.so`.

| Komponente | Verwendet | Geprüfter stabiler Stand | Entscheidung | Offizielle Quelle |
| --- | --- | --- | --- | --- |
| Gradle | 9.7.1 | 9.7.1 | beibehalten; aktuelle stabile Patchversion und Wrapper-Prüfsumme bestätigt | https://gradle.org/releases/ |
| Kotlin | 2.4.10 | 2.4.10 | beibehalten; aktuelle stabile Bugfixversion | https://kotlinlang.org/docs/releases.html |
| Kotlin Coroutines | 1.11.0 | 1.11.0 | beibehalten | https://github.com/Kotlin/kotlinx.coroutines/releases/tag/1.11.0 |
| Compose Multiplatform | 1.12.0 | 1.12.0 | beibehalten; Gradle-Bericht ohne stabile Aktualisierung | https://github.com/JetBrains/compose-multiplatform/releases |
| Material3 | 1.9.0 | 1.9.0 | beibehalten; Gradle-Bericht ohne stabile Aktualisierung | https://maven.pkg.jetbrains.space/public/p/compose/dev/org/jetbrains/compose/material3/material3/ |
| Mapsforge Reader/Writer | 0.29.0 | 0.30.0 | beibehalten; Reader-, Writer- und POI-Migration benötigt getrennte Kompatibilitäts- und Roundtriptests | https://github.com/mapsforge/mapsforge/releases/tag/0.30.0 |
| SQLite JDBC | 3.53.2.0 im Writer-Bundle | 3.53.4.0 | nicht isoliert überschreiben; Bestandteil des verifizierten Mapsforge-Fat-JARs | https://github.com/xerial/sqlite-jdbc/releases |
| JTS | 1.20.0 | 1.20.0 | beibehalten | https://github.com/locationtech/jts/releases/tag/jts-1.20.0 |
| Osmosis | 0.49.2 | 0.49.2 | beibehalten | https://github.com/openstreetmap/osmosis/releases/tag/0.49.2 |
| OSM Binary | 1.6.1 | 1.6.1 | beibehalten | https://github.com/openstreetmap/osmosis-osm-binary/releases/tag/1.6.1 |
| CycloneDX Gradle Plugin | 3.4.1 | 3.4.1 | beibehalten | https://plugins.gradle.org/plugin/org.cyclonedx.bom |
| Gradle Versions Plugin | 0.61.0 | 0.61.0 | beibehalten | https://plugins.gradle.org/plugin/io.github.ben-manes.versions |
| OSV-Scanner | 2.5.1 | 2.5.1 | beibehalten | https://github.com/google/osv-scanner/releases/tag/v2.5.1 |
| Microsoft OpenJDK | 25.0.4.1 LTS | 25.0.4.1 LTS | beibehalten; Windows- und Linux-Werkzeugkette erfasst | https://learn.microsoft.com/java/openjdk/download |
| Android Studio | 2026.1.3 Patch 1 | 2026.1.3 Patch 1 | beibehalten; nur Entwicklungswerkzeug | https://developer.android.com/studio/releases |

## Kompatibilitätsentscheidung

Neuere Guava-, JAXB-, FastInfoset-, Error-Prone- und SQLite-Einträge aus dem Gradle-Bericht gehören
zum gebündelten Mapsforge-0.29.0-Writer. Eine parallele Einzelaktualisierung würde die enthaltenen
Klassen nicht zuverlässig ersetzen und kann binär inkompatible Duplikate erzeugen. Diese
Komponenten bleiben deshalb bis zu einer getrennten Mapsforge-0.30.0-Migration unverändert und
werden vollständig durch SBOM und OSV-Prüfung erfasst.

## Security-Gate

Die CycloneDX-SBOMs für Windows x64 und Linux x64 enthalten jeweils 233 Komponenten. OSV-Scanner
2.5.1 meldet für beide Plattformen keine bekannten Schwachstellen. Es besteht keine
Ausnahmeentscheidung; `security/vulnerability-exceptions.json` bleibt leer. Die veröffentlichten
Textnachweise enthalten keine lokalen absoluten Pfade, Benutzer- oder Rechnernamen.
