# Dapr v1.18.10

> Orchestration & Management · 2026-10-31

접근 제어, 격리, 서비스 거부, 프로세스 중단과 관련된 보안 문제를 다룬 유지보수 릴리스입니다. 공개 메타데이터 쓰기 경로와 gRPC 메타데이터 크기 제한에는 호환성이 바뀌는 동작이 포함됩니다.

## 조치 필요
- **[security]** gRPC 요청 헤더 크기 제한
  - gRPC API 서버와 내부 gRPC 서버가 요청 헤더 크기를 `--read-buffer-size` 바이트로 제한합니다. 이 값의 최솟값은 64 KiB이며 `dapr.io/read-buffer-size` 설정과 관련됩니다.

## 영향 확인
- **[security]** HTTP 서비스 호출 메서드 검사 일치
  - HTTP 앱을 실행하는 경우 적용됩니다.
  - HTTP 앱의 접근 제어 검사가 앱으로 전달되는 메서드와 정책을 비교합니다. 퍼센트 인코딩 문자를 한 번 디코딩한 뒤 소문자로 바꿔 검사합니다.
- **[security]** 내부 액터 대상 `WatchJobs` 권한 확인
  - 호출 앱과 네임스페이스에 속하지 않는 내부 액터 유형 `dapr.internal.*`에 `WatchJobs` 스트림이 동시성 제한을 선언하거나 설정하는 경우 적용됩니다.
  - 스케줄러가 호출 앱과 네임스페이스에 속하지 않는 내부 액터 유형을 대상으로 하는 `WatchJobs` 스트림을 거부합니다. 해당 스트림이 동시성 제한을 선언하거나 설정하면 `PermissionDenied`를 반환합니다.
- **[security]** 이스케이프된 상태 확인 경로의 API 토큰 검사
  - `DAPR_API_TOKEN`을 설정하는 경우 적용됩니다.
  - API 토큰 미들웨어가 라우터가 일치시키는 것과 같은 이스케이프된 경로를 비교합니다. 퍼센트 인코딩된 상태 확인 경로에도 API 토큰이 필요합니다.
- **[security]** 내부 포트의 gRPC 대상 제한
  - 내부 포트를 사용하는 경우 적용됩니다.
  - 내부 포트의 gRPC 프록시는 로컬 앱을 대상으로 하는 호출만 처리합니다. 다른 대상을 지정한 호출에는 `PermissionDenied`를 반환합니다.
- **[security]** 공개 포트 메타데이터 쓰기 경로 제거
  - 공개 포트로 `PUT /v1.0/metadata/{key}`를 보내는 경우 적용됩니다.
  - 호환성이 바뀌었습니다. 공개 포트의 `PUT /v1.0/metadata/{key}` 요청은 이제 `404`를 반환하며, 클라이언트는 대신 Dapr HTTP API 포트로 요청해야 합니다.
- **[security]** 요청 호스트 기반 디스커버리 문서 캐시 방지
  - 요청 호스트를 바탕으로 디스커버리 문서를 생성하는 경우 적용됩니다.
  - 검증된 값으로 디스커버리 문서를 생성합니다. 요청 호스트에서 만든 디스커버리 문서에는 이제 `Cache-Control: no-store`가 포함됩니다.
- **[security]** `primaryEncryptionKey` 오류 처리
  - `primaryEncryptionKey`에 입력하면 패닉을 일으킬 값이 포함된 경우 적용됩니다.
  - 패닉을 일으킬 수 있는 `primaryEncryptionKey` 값에 대해 이제 오류를 반환합니다. gRPC에서는 `Internal`, HTTP에서는 `500`을 반환하며 기존 상태 저장소 오류 코드를 사용합니다.
- **[security]** 아웃박스 표식 키가 아닌 메시지 제거
  - 트랜잭션 아웃박스를 사용하는 경우 적용됩니다.
  - 아웃박스 구독자가 `id`가 아웃박스 표식 키인 `outbox-<uuid>`가 아닌 메시지를 버립니다. 상태를 읽거나 삭제하기 전에 메시지를 버리고 경고를 기록합니다.
- **[security]** API 토큰의 일정 시간 비교
  - `DAPR_API_TOKEN`을 설정하는 경우 적용됩니다.
  - HTTP와 gRPC API 토큰 검사가 일정한 시간에 실행되는 비교 방식을 사용합니다.

## 그 밖에 기록된 변경
- 2 (defect_corrected 2)

[분석 자세히 보기](https://ratatosk.io/ko/releases/dapr/v1.18.10)

[원본 릴리스 노트](https://github.com/dapr/dapr/releases/tag/v1.18.10)