# Dapr v1.18.10

> Orchestration & Management · 2026-10-31

アクセス制御、アプリ間の分離、リクエストサイズ、エラー処理に関するセキュリティ修正を含むメンテナンスリリースです。公開ポートでのメタデータ書き込み方法が変わり、gRPCリクエストヘッダーにもサイズ制限が追加されています。

## 要対応
- **[security]** gRPCリクエストヘッダーサイズの制限
  - gRPC APIサーバーと内部gRPCサーバーは、リクエストヘッダーのサイズを`--read-buffer-size`バイトまでに制限します。この値の最小値は64 KiBです。

## 影響確認
- **[security]** HTTPサービス呼び出しのメソッド照合の修正
  - HTTPアプリを実行している場合に適用されます。
  - HTTPアプリのサービス呼び出しでは、パーセントエンコード文字を1回デコードして小文字化したうえで、アプリに渡されるHTTPメソッドに一致するポリシーを使ってアクセス制御を判定します。
- **[security]** `WatchJobs`の内部アクター型に対する権限制御
  - `WatchJobs`ストリームで、呼び出し元のアプリと名前空間に属さない内部アクター型`dapr.internal.*`を指定するか、その同時実行数制限を設定する場合に適用されます。
  - `Scheduler`は、呼び出し元のアプリと名前空間に属さない内部アクター型（`dapr.internal.*`）を指定または同型の同時実行数制限を設定した`WatchJobs`ストリームを、`PermissionDenied`で拒否します。
- **[security]** エスケープ済みパスへのAPIトークン検証
  - `DAPR_API_TOKEN`を設定している場合に適用されます。
  - APIトークンのミドルウェアがルーターと同じエスケープ済みパスを比較するようになり、パーセントエンコードされたヘルスチェックのパスにもAPIトークンが必要です。
- **[security]** 内部ポートのgRPCプロキシ宛先制限
  - 内部ポートを使用している場合に適用されます。
  - 内部ポートのgRPCプロキシはローカルアプリ宛ての呼び出しだけを処理し、それ以外の宛先には`PermissionDenied`を返します。
- **[security]** 公開ポートでのメタデータ書き込みの停止
  - 公開ポートで`PUT /v1.0/metadata/{key}`を送信する場合に適用されます。
  - 公開ポートでの`PUT /v1.0/metadata/{key}`は`404`を返すようになりました。このリクエストはDaprのHTTP APIポートへ送信します。
- **[security]** ディスカバリードキュメントのキャッシュ抑制
  - リクエストホストからディスカバリードキュメントを構築する場合に適用されます。
  - リクエストホストから構築するディスカバリードキュメントには、`Cache-Control: no-store`が付くようになりました。ディスカバリードキュメントは検証済みの値から構築されます。
- **[security]** `primaryEncryptionKey`の不正値に対するエラー処理
  - `primaryEncryptionKey`に、通常ならパニックを引き起こす値が含まれる場合に適用されます。
  - パニックにつながる値を`primaryEncryptionKey`に指定した場合、Daprはパニックを起こさず、既存のステートストアエラーコードとともに、gRPCでは`Internal`、HTTPでは`500`を返します。
- **[security]** アウトボックスマーカーキーの検証
  - トランザクショナルアウトボックスを使用している場合に適用されます。
  - トランザクショナルアウトボックスのサブスクライバーは、`id`がアウトボックスのマーカーキー（`outbox-<uuid>`）でないメッセージを、状態の読み取りや削除を行う前に破棄し、警告をログに記録します。
- **[security]** APIトークン比較方式の変更
  - `DAPR_API_TOKEN`を設定している場合に適用されます。
  - HTTPとgRPCのAPIトークン検証で、時間が一定の比較を使うようになりました。

## その他の記録された変更
- 2 (defect_corrected 2)

[分析の詳細](https://ratatosk.io/ja/releases/dapr/v1.18.10)

[元のリリースノート](https://github.com/dapr/dapr/releases/tag/v1.18.10)