# Dapr v1.19.1

> Orchestration & Management · 2026-10-31

アクセス制御、分離、サービス拒否、クラッシュに関わる問題を修正した、セキュリティ重視の保守リリースです。公開ポートのエンドポイントやgRPCメタデータサイズの扱いには、既存の利用方法に影響する変更があります。

## 要対応
- **[security]** 内部 gRPC プロキシの宛先をローカルアプリに限定
  - 内部ポートの gRPC プロキシはローカルアプリ宛ての呼び出しだけを処理し、それ以外の宛先には `PermissionDenied` を返すようになりました。
- **[security]** ジョブターゲットのキー接頭辞を修正
  - Schedulerがジョブターゲット用のキー接頭辞を必ず区切り文字で終えるようになりました。これにより、`id_prefix_match` はAPIドキュメントどおりアクターリマインダーのIDにだけ適用されます。
- **[security]** `Sentry`の許可ホスト値を制限
  - 値には、任意の数値ポートを付けたホストだけを指定できます。ユーザー情報、パス、クエリ、フラグメントは使用できず、ホストまたはホストとポートが許可ホスト一覧に含まれていない場合は`Sentry`が `403` を返します。
- **[security]** ディスカバリードキュメントのキャッシュを無効化
  - リクエストホストから作成したディスカバリードキュメントに `Cache-Control: no-store` を付けて送信するようになりました。
- **[security]** gRPCリクエストヘッダーのサイズ制限
  - gRPC APIサーバーと内部gRPCサーバーが、リクエストヘッダーのサイズを `--read-buffer-size` バイトまでに制限するようになりました。最小値は64 KiBです。
- **[security]** APIトークン比較を定時間化
  - HTTPとgRPCのAPIトークン検証で、実行時間が入力値に依存しない比較を使うようになりました。

## 影響確認
- **[security · medium]** `DAPR_API_TOKEN` のパス比較を修正
  - `DAPR_API_TOKEN` を設定している場合に適用されます。
  - APIトークンミドルウェアがルーターと同じエスケープ済みパスを比較するようになり、パーセントエンコードされたヘルスチェックパスにもAPIトークンが必要になりました。対象は `DAPR_API_TOKEN` の設定です。関連する勧告は `GHSA-59m6-82qm-vqgj` です。
- **[security]** HTTPサービス呼び出しのメソッド照合を修正
  - HTTPアプリを利用している場合に適用されます。
  - アクセス制御ポリシーとの照合で、アプリがルーティングするメソッドに合わせて、パーセントエンコード文字を1回デコードしてから小文字化するようになりました。
- **[security]** `WatchJobs` の内部アクター型検証を強化
  - `WatchJobs` を利用している場合に適用されます。
  - Schedulerは、呼び出し元のアプリと名前空間に属さない内部アクター型（`dapr.internal.*`）を宣言する、またはその同時実行数を制限する `WatchJobs` ストリームを `PermissionDenied` で拒否するようになりました。
- **[security]** 公開ポートの `PUT /v1.0/metadata/{key}` を廃止
  - `PUT /v1.0/metadata/{key}` を利用している場合に適用されます。
  - 公開ポートの `PUT /v1.0/metadata/{key}` は `404` を返すようになりました。このリクエストはDaprのHTTP APIポートに送る必要があります。
- **[security]** 保存値の復号時パニックを修正
  - `primaryEncryptionKey` を設定している場合に適用されます。
  - 保存された値が復号時にDaprをパニックさせる問題を修正しました。対象は `primaryEncryptionKey` を設定している構成です。
- **[security]** トランザクショナルアウトボックスのID検証とパニックを修正
  - トランザクショナルアウトボックスを利用している場合に適用されます。
  - トランザクショナルアウトボックスが任意の `id` を受け入れず、作成するマーカーキー `outbox-<uuid>` だけを対象にするようになりました。`datacontenttype` フィールドがないメッセージによるDaprのパニックも修正しました。

## その他の記録された変更
- 3 (defect_corrected 2, value_changed 1)

[分析の詳細](https://ratatosk.io/ja/releases/dapr/v1.19.1)

[元のリリースノート](https://github.com/dapr/dapr/releases/tag/v1.19.1)