# Dapr v1.19.1

> Orchestration & Management · 2026-10-31

접근 제어와 격리 경계를 조정하고, 서비스 거부와 비정상 종료를 일으키는 문제를 고친 보안 유지보수 릴리스입니다. 공개 포트 동작과 gRPC 요청 헤더 제한처럼 기존 사용 방식에 영향을 주는 변경도 포함됩니다.

## 조치 필요
- **[security]** 내부 포트 gRPC 프록시 대상 제한
  - 내부 포트의 gRPC 프록시는 이제 로컬 앱을 대상으로 한 호출만 처리합니다. 다른 대상을 지정한 호출에는 `PermissionDenied`를 반환합니다.
- **[security]** 작업 대상 키 접두사 구분자 처리
  - Scheduler가 작업 대상용 키 접두사의 끝에 항상 구분자를 붙입니다. 이에 따라 `id_prefix_match`는 API 문서에 정의된 대로 액터 알림 ID에만 적용됩니다.
- **[security]** `Sentry` 허용 호스트 값 제한
  - `Sentry`에 전달하는 값은 사용자 정보, 경로, 쿼리, 프래그먼트 없이 호스트와 선택적인 숫자 포트만 포함해야 합니다. 호스트 또는 호스트와 포트가 허용된 호스트 목록에 없으면 `403`을 반환합니다.
- **[security]** 검색 문서 캐시 비활성화
  - 요청 호스트로 만든 검색 문서에 `Cache-Control: no-store`가 설정된 상태로 전송됩니다.
- **[security]** gRPC 요청 헤더 크기 제한
  - gRPC API 서버와 내부 gRPC 서버가 요청 헤더 크기를 `--read-buffer-size` 바이트로 제한합니다. 이 값의 최솟값은 `64 KiB`입니다.
- **[security]** API 토큰 일정 시간 비교
  - HTTP와 gRPC API 토큰 검사가 이제 일정한 실행 시간으로 값을 비교합니다.

## 영향 확인
- **[security · medium]** 이스케이프된 상태 확인 경로의 API 토큰 검사
  - `DAPR_API_TOKEN`을 설정한 경우에 적용됩니다.
  - API 토큰 미들웨어가 라우터가 일치시키는 것과 같은 이스케이프된 경로를 비교합니다. 따라서 퍼센트 인코딩된 상태 확인 경로에도 API 토큰이 필요합니다. 이 동작은 `GHSA-59m6-82qm-vqgj`와 관련됩니다.
- **[security]** HTTP 서비스 호출 메서드 기반 접근 제어
  - HTTP 앱을 사용하는 경우에 적용됩니다.
  - HTTP 앱의 서비스 호출 접근 제어가 앱이 라우팅한 메서드와 일치하도록 바뀌었습니다. 메서드의 퍼센트 인코딩 문자를 한 번 디코딩한 뒤 소문자로 바꾼 값으로 정책을 비교합니다.
- **[security]** `WatchJobs` 내부 액터 형식 검사
  - `WatchJobs`를 사용하는 경우에 적용됩니다.
  - Scheduler가 호출 앱과 네임스페이스에 속하지 않는 내부 액터 형식인 `dapr.internal.*`을 선언하거나 해당 형식에 동시성 제한을 설정한 `WatchJobs` 스트림을 `PermissionDenied`로 거부합니다.
- **[security]** 공개 포트 메타데이터 갱신 경로 변경
  - `PUT /v1.0/metadata/{key}`를 사용하는 경우에 적용됩니다.
  - 공개 포트의 `PUT /v1.0/metadata/{key}` 요청이 이제 `404`를 반환합니다. 클라이언트는 이 요청을 Dapr HTTP API 포트로 보내야 합니다.
- **[security]** 저장값 복호화 중 비정상 종료 수정
  - `primaryEncryptionKey`를 설정한 경우에 적용됩니다.
  - 저장된 값 때문에 복호화 중 Dapr가 비정상 종료하던 문제가 수정되었습니다.
- **[security]** 트랜잭션 아웃박스 키와 메시지 처리 수정
  - 트랜잭션 아웃박스를 사용하는 경우에 적용됩니다.
  - 트랜잭션 아웃박스가 생성한 표식 키인 `outbox-<uuid>`만 허용하지 않고 임의의 `id`도 받아들이던 문제가 수정되었습니다. `datacontenttype` 필드가 없는 메시지를 처리할 때 Dapr가 비정상 종료하던 문제도 고쳤습니다.

## 그 밖에 기록된 변경
- 3 (defect_corrected 2, value_changed 1)

[분석 자세히 보기](https://ratatosk.io/ko/releases/dapr/v1.19.1)

[원본 릴리스 노트](https://github.com/dapr/dapr/releases/tag/v1.19.1)