# Dapr v1.17.19

> Orchestration & Management · 2026-10-31

アクセス制御、認証、分離、サービス拒否、データ整合性に関するセキュリティ修正を含むメンテナンスリリースです。公開ポートでのメタデータ書き込みとgRPCメタデータサイズの扱いに変更があります。

## 要対応
- **[security]** ジョブターゲットのキー接頭辞を修正
  - Schedulerはジョブターゲットのキー接頭辞を常に区切り文字で終わらせます。`id_prefix_match`は、APIの仕様どおりアクターリマインダーIDにだけ適用されます。
- **[security]** Sentryのホスト値解析を修正
  - Sentryはホスト値を1回だけ解析します。対象は`X-Forwarded-Host`、または`Host`ヘッダーです。

## 影響確認
- **[security · medium]** エスケープ済みヘルスチェックパスのAPIトークン検証
  - パーセントエンコードされたヘルスチェックパスを使う場合に適用されます。
  - `DAPR_API_TOKEN`のミドルウェアは、ルーターが照合するものと同じエスケープ済みパスを比較します。パーセントエンコードされたヘルスチェックパスにもAPIトークンが必要になります。
- **[security]** HTTPサービス呼び出しのアクセス制御判定を修正
  - HTTPアプリを実行している場合に適用されます。
  - HTTPアプリのアクセス制御で、アプリへのルートが使うメソッドに合わせてポリシーを照合します。パーセントエンコードされた文字は1回だけデコードしてから小文字化します。
- **[security]** `WatchJobs`の内部アクター型を検証
  - 呼び出し元のアプリと名前空間に属さない内部アクター型（`dapr.internal.*`）で`WatchJobs`を使う場合に適用されます。
  - Schedulerは、呼び出し元のアプリと名前空間に属さない内部アクター型（`dapr.internal.*`）を指定した`WatchJobs`ストリームを`PermissionDenied`で拒否します。
- **[security]** 内部ポートのgRPCプロキシが対象アプリを制限
  - 内部ポートを使う場合に適用されます。
  - 内部ポートのgRPCプロキシはローカルアプリ宛ての呼び出しだけを受け付け、それ以外のターゲットには`PermissionDenied`を返します。
- **[security]** 公開ポートのエンドポイントを読み取り専用に変更
  - `--dapr-public-port`を設定する場合に適用されます。
  - `--dapr-public-port`では読み取り専用の`GET`エンドポイントだけを提供します。対象は`GET /v1.0/metadata`、`GET /v1.0/healthz`、`GET /v1.0/healthz/outbound`です。`PUT /v1.0/metadata/{key}`はメインAPIポートで引き続き利用できます。
- **[security]** `primaryEncryptionKey`の書き込み接尾辞を修正
  - `primaryEncryptionKey`を設定する場合に適用されます。
  - `primaryEncryptionKey`で書き込む値に、Daprが書き込み時に付加する`||<key name>`の接尾辞が含まれるようになりました。
- **[security]** 短い暗号文の状態取得処理を修正
  - `GetState`または`GetBulkState`を使う場合に適用されます。
  - ノンスより短い暗号文を処理してもパニックしないようになりました。gRPC APIの`GetState`と`GetBulkState`ではサイドカーがクラッシュせず、HTTP APIではリクエストが失敗します。
- **[security]** アウトボックスIDの検証を修正
  - トランザクショナルアウトボックスを使う場合に適用されます。
  - トランザクショナルアウトボックスでは、任意の`id`ではなく、Daprが作成するアウトボックスマーカーキー（`outbox-<uuid>`）だけを受け付けます。
- **[security]** gRPCメタデータの最大サイズを制限
  - gRPC APIを使う場合に適用されます。
  - gRPC APIへの呼び出しは、メタデータが64 KiB、またはそれより大きい`--read-buffer-size`を超える場合に、gRPCの`Internal`エラー（"header list size ... violates the maximum size"）で失敗します。gRPCプロキシ経由の呼び出しも対象です。

[分析の詳細](https://ratatosk.io/ja/releases/dapr/v1.17.19)

[元のリリースノート](https://github.com/dapr/dapr/releases/tag/v1.17.19)