Dapr 0.11.0 版本发布说明：声明式订阅、服务调用访问控制与密钥作用域实战解析

Dapr 0.11.0 版本发布说明：声明式订阅、服务调用访问控制与密钥作用域实战解析

【免费下载链接】daprDapr is a portable runtime for building distributed applications across cloud and edge, combining event-driven architecture with workflow orchestration.项目地址: https://gitcode.com/GitHub_Trending/da/dapr

Dapr v0.11.0 是 Dapr 在 2020 年发布的一个重要里程碑版本，其发布重点从功能堆叠转向了安全、稳定性与可靠性等运维关切，同时进一步完善了升级流程以支撑可持续运行的生产环境。本文以 docs/release_notes/v0.11.0.md 为主线，系统梳理该版本引入的声明式 pub/sub 订阅、基于 SPIFFE 身份的服务调用访问控制、密钥作用域（Secrets Scoping）、跨命名空间服务调用等核心能力，并给出从本地到 Kubernetes 的完整升级路径与破坏性变更说明。读完本文，你将掌握 v0.11.0 的全部新特性、精确的升级操作步骤，以及这些特性在 Dapr 源码中的底层实现脉络。

版本概述与核心亮点

Dapr 的版本迭代越来越聚焦于安全、稳定性和可靠性等运维问题；同时，随着 Dapr 部署数量的持续增长，团队进一步打磨了升级流程，以支撑可持续的生产环境。用户直接反馈是版本规划的主要输入，官方也期待使用者持续反馈体验中的摩擦点。

v0.11.0 的核心亮点集中在以下六个方面：

• 声明式 pub/sub 主题订阅（Declarative pub/sub topic subscription）：应用无需编写订阅代码，即可通过 YAML 文件声明式地订阅主题。
• 服务调用的访问控制策略与 SPIFFE 身份：基于 SPIFFE（Secure Production Identity Framework for Everyone）颁发的工作负载证书，配合访问控制列表（ACL）实现精细化的服务间访问安全。
• 应用密钥作用域（Scoping for secrets）：通过配置限定应用可访问的密钥范围，支持 allow/deny 两种策略。
• 环境变量密钥存储：新增支持将环境变量作为 secret store 使用，便于开发调试；同时更新了本地密钥存储的 Quickstart 示例。
• 服务调用的跨命名空间支持：允许服务跨 Kubernetes 命名空间进行发现与调用。
• 新组件：新增 RethinkDB state store（面向时序数据场景）、Open Policy Agent（OPA）HTTP 中间件、PostgreSQL 双向输出绑定（Bi-directional output binding）。

此外，从本版本开始，Dapr Helm chart 仓库迁移至dapr.github.io/helm-charts，就地升级集群时需要先添加新仓库（具体步骤见下文"升级现有集群"）。

注意：本版本包含若干破坏性变更，详见本文"破坏性变更"一节。

新特性深度解析

声明式 pub/sub 主题订阅

v0.11.0 引入了声明式机制来创建主题订阅（declarative mechanism to create topic subscription）。此前，应用需要实现订阅端点（如GET /dapr/subscribe）并返回订阅列表，属于编程式订阅；声明式订阅则允许通过 Dapr 组件配置文件直接声明订阅关系，将订阅逻辑从应用代码中剥离出来。

从当前仓库源码结构看，这一能力在 runtime 层有完整的实现链路：pkg/runtime/subscriptions.go 与 pkg/runtime/compstore/subscriptions.go 负责订阅信息的存储与查询，pkg/runtime/processor/subscription.go 及pkg/runtime/processor/loops/pubsub/subscription.go负责订阅处理循环，最终在 pkg/runtime/runtime.go 中完成装配。从代码组织可以推断，运行时会将声明式订阅与编程式订阅统一纳入订阅管理流程，供 pub/sub 构建块分发消息时查询使用。

声明式订阅的典型形态是在应用所在命名空间内创建一个类型为Subscription的自定义资源（CRD）文件，其中包含pubsubname、topic、route等字段。发布说明同时强调输入参数（如 state key、pubsub topic）是大小写敏感的，配置时需保持一致。

服务调用的访问控制策略与 SPIFFE 身份

本版本为 Service Invocation 增加了访问控制列表（Access Control Lists），并给 sentry 颁发的工作负载证书加入了基于 SPIFFE 的强身份标识，使服务间调用可以基于可信身份进行授权判定。

访问控制的核心配置模型可以在 pkg/config/configuration.go 中看到。ConfigurationSpec中新增了AccessControlSpec（pkg/config/configuration.go），其结构如下：

type AccessControlSpec struct { DefaultAction string `json:"defaultAction,omitempty" yaml:"defaultAction,omitempty"` TrustDomain string `json:"trustDomain,omitempty" yaml:"trustDomain,omitempty"` AppPolicies []AppPolicySpec `json:"policies,omitempty" yaml:"policies,omitempty"` }

其中DefaultAction定义未匹配任何策略时的默认动作，TrustDomain指定信任域，AppPolicies按应用逐一声明策略。运行时会将该配置编译为内存中的AccessControlList（pkg/config/configuration.go）结构，它包含DefaultAction、TrustDomain和按应用组织的PolicySpec映射：

type AccessControlList struct { DefaultAction string TrustDomain string PolicySpec map[string]AccessControlListPolicySpec }

每个应用的策略（AccessControlListPolicySpec）内，操作匹配使用了Trie（前缀树）数据结构加速查找（AppOperationActions *Trie），其实现位于 pkg/config/acl_trie.go，并有对应的 pkg/config/acl_trie_test.go 测试保障。从源码设计看，采用 Trie 是为了在高频的服务调用鉴权路径上实现快速、确定性的操作名匹配。而 SPIFFE 身份则由 sentry 服务在颁发工作负载证书时嵌入，配合 mTLS 建立调用双方的可信身份链路。

密钥作用域（Secrets Scoping）

v0.11.0 为应用中使用的密钥增加了作用域限制能力，防止应用访问其不应接触的密钥。配置模型同样定义在 pkg/config/configuration.go：

type SecretsSpec struct { Scopes []SecretsScope `json:"scopes,omitempty"` } type SecretsScope struct { DefaultAccess string `json:"defaultAccess,omitempty" yaml:"defaultAccess,omitempty"` StoreName string `json:"storeName,omitempty" yaml:"storeName,omitempty"` AllowedSecrets []string `json:"allowedSecrets,omitempty" yaml:"allowedSecrets,omitempty"` DeniedSecrets []string `json:"deniedSecrets,omitempty" yaml:"deniedSecrets,omitempty"` }

通过配置allowedSecrets（允许名单）与deniedSecrets（拒绝名单），并结合defaultAccess（默认访问策略）与storeName（限定到具体 secret store），可以实现：

• 白名单模式：defaultAccess: deny+ 枚举allowedSecrets；
• 黑名单模式：defaultAccess: allow+ 枚举deniedSecrets；
• 按 store 粒度隔离：不同 store 可以配置各自独立的作用域。

仓库的 E2E 测试配置（如 tests/config/kubernetes_allowlists_config.yaml、tests/config/kubernetes_secret_config.yaml）展示了这类配置在真实集群场景中的应用形态。同时，文档侧也补充了"明文密钥（plain text secrets）免责声明"，提醒生产环境谨慎使用明文密钥。

环境变量作为密钥存储

为方便开发调试，v0.11.0 新增了将环境变量作为 secret store 的实现。组件注册机制可以在 pkg/components/secretstores/registry.go 中看到：NewRegistry()创建注册表，RegisterComponent将组件工厂按名称注册，运行时按组件类型名查表实例化。

使用环境变量 secret store 时，组件类型声明为secretstores.local.env，环境变量名即密钥名、环境变量的值即密钥值。这是典型的开发环境辅助手段，发布说明明确将其定位为 development 用途；与此同时，本地文件密钥存储（secretstores.local.file）也完成了重构，成为自托管模式推荐的本地密钥方案，官方 Quickstart 亦改用本地 secret store 运行示例。

跨命名空间服务调用

v0.11.0 为服务调用增加了跨 Kubernetes 命名空间的发现与调用支持。此前服务调用默认局限于同一命名空间；本版本在名称解析与服务发现逻辑中加入了命名空间维度的支持，并同步更新了文档与 E2E 测试。调用跨命名空间服务时，需要在目标服务名称中携带目标命名空间信息（例如以namespace/service形式指定），同时受上述访问控制策略与 mTLS 信任域的约束。源码层面，pkg/messaging/direct_messaging.go 承担服务调用的直接消息路由，而跨命名空间支持涉及名称解析组件（NameResolutionSpec，见 pkg/config/configuration.go）与命名空间感知的寻址逻辑。

新组件：RethinkDB、OPA 中间件与 PostgreSQL 双向绑定

• RethinkDB state store：面向时序数据（time-series data）使用场景新增，适用于日志、指标等按时间序列组织的状态数据。
• Open Policy Agent（OPA）HTTP 中间件：将 OPA 策略引擎接入 Dapr 的 HTTP 中间件管道，开发者可以在 Dapr 侧统一执行授权策略，而无需在每个业务服务中重复实现。
• PostgreSQL 双向输出绑定：与单向输出绑定不同，双向绑定在输出后还能接收来自外部系统的消息（如数据库变更通知），为集成外部系统提供更灵活的交互模式。

各模块更新明细

Dapr Runtime

运行时层面的工作重心是代码质量、API 完善与稳定性修复：

• 代码重构：清理冗余代码，解锁操作改用defer保证释放；统一使用github.com/pkg/errors替代fmt.errorf；重构组件初始化处理流程与运行时启动期间的组件处理逻辑。
• API 增强：State API 增加可选 metadata 字段；Bulk Get API 增加 error 字段并修复 JSON 响应中空字段的序列化问题；移除 actors 的非事务状态 API；修复 gRPC State Transaction 的序列化问题（详见破坏性变更）。
• 日志与可观测性：增加从 app 到 sidecar 的日志详细级别提升支持；为运行时加载的组件输出日志；修复host removed日志每秒重复多次打印的问题；修复 sidecar injector 记录 admission response 时可能包含私有信息的隐患（在 Kubernetes 特定条件下）。
• 服务调用：新增跨命名空间服务发现支持；为服务调用 REST API 补充 Swagger 文档；修复 actor 不存在时返回 200 的问题（改为返回 400）、actor GET 时 key 不存在仍返回 200 的问题。
• 消息与订阅：新增声明式主题订阅机制；修复 gRPC 下 pub/sub 消息投递的响应处理；修复发布到无 topic 的组件仍返回 200 的问题；修复多 pub/sub 场景下PubSubName抽象失效的问题；NATS pub/sub 实现切换为 NATS Streaming（详见破坏性变更）。
• 安全：新增基于 SPIFFE 强 ID 的 sentry 工作负载证书；新增服务调用访问控制列表；新增密钥作用域。
• 部署与平台：为控制平面 Pod 添加标签；修复 dapr-operator 在 Kubernetes 中拥有 cluster-admin 权限的问题；修复 Dapr 无法安装到 ARM64 集群的问题；修复 dapr-placement 偶发启动失败；修复 dashboard 无 Windows 镜像问题（Helm chart 强制使用 Linux）。
• 测试与工程：为 actor state 场景补充 E2E 测试并修复 actor E2E 偶发失败；E2E 测试组件改为从 secrets 获取值；修复 pub/sub E2E 偶发失败；增加 actor 负载测试；新增 code coverage GitHub Action；为 GetState/SaveState 一致性、state 内容类型等增加决策记录（decision record）。

Dapr CLI

• Go 语言版本升级至 1.15。
• 新增 ARM64 二进制支持。
• 修复dapr status在 HA 模式下控制平面显示不正确的问题。
• 修复 dashboard 运行时dapr publish命令的问题；修复dapr dashboard -p端口参数不生效的问题。
• 修复日志误导（未完全就绪时却显示一切正常运行）。
• CLI 在运行无端口的应用前会等待 dapr sidecar 就绪。
• Helm chart 仓库从 ACR 迁移到 GitHub 仓库。
• 新增 code coverage GitHub Action。

Dashboard

• 新增 ARM 架构支持。
• 修复从命令行传入端口配置的问题。

Components（组件贡献库）

• 本地 secret store 重构：基于文件的本地 secret store 完成重构，并新增环境变量 secret store。
• MQTT：更新 publish 以支持多 pub/sub 场景。
• RabbitMQ binding：新增 QoS 支持。
• Redis：state store 组件新增故障转移（failover）特性；修复Multi()事务 API 使用 HSET/HDEL 的问题。
• Azure Blob Storage 输出绑定：新增 base64 解码选项与 get 操作；修复返回的文档 URL 非实际有效 URL 的问题。
• CosmosDB：修复ExecuteStateTransactionRequest中的 metadata 支持；修复一致性取值错误。
• NATS Streaming：修复使用 NATS logger 而非 Dapr logger 的问题。
• 新增：PostgreSQL 双向输出绑定、RethinkDB state store、OPA HTTP 中间件、pub/sub 响应类型。
• 新增 code coverage GitHub Action。

SDK 系列

• Java SDK：支持 W3C 分布式追踪；支持向 API 调用注入DAPR_API_TOKEN；gRPC 服务调用支持 content type metadata；State API 支持 metadata；新增 Bulk Get State API 与 State Transaction API 支持；更新 state store 与 secrets store 示例；新增 code coverage GitHub Action。
• .NET SDK：State API 支持 metadata；新增 State Transaction API 支持；AddDapr支持指定默认 DaprClient 选项；支持将 headers 作为 metadata 发送给 sidecar；修复 MarkerService 防止 DI 重复注册失效的问题。
• Go SDK：新增 pub/sub 示例应用与事件处理、重试逻辑；客户端请求支持一致的父 trace ID；支持显式 Dapr API 认证 token；State API 支持 metadata；修复 README 文档；新增 code coverage GitHub Action。
• Python SDK：新增 Bulk Get State API、State Transaction API、metadata 支持；支持一次性保存多个状态；新增密钥作用域示例。
• Rust SDK：State API 支持 metadata。
• JavaScript SDK：State API 支持 metadata。

Docs（文档）

• 修复 kubectl 命令指向错误 yaml 文件的问题、文档死链、命令缺少续行符等问题。
• 新增本地 secret store 变更、跨命名空间服务调用、声明式 pub/sub、Redis 故障转移指南、密钥作用域、decodeBase64配置选项等文档。
• 更新 actors/pub-sub/state API 参考文档、Prometheus 与 Grafana 部署文档、Helm chart 链接、NATS Streaming 部署文档（移除旧 NATS 文档）、Azure Blob Storage 绑定文档、服务调用与状态管理概念文档。
• 明确输入参数（state key、pubsub topic）大小写敏感；补充 publish 时 CloudEvents 使用说明；将 KEDA v2.0-beta 队列深度自动扩缩容文档更新。

升级到 Dapr 0.11.0

以下升级步骤请按顺序执行，以避免终端出现红色报错。

本地机器 / 自托管

先使用当前已安装的 CLI 卸载 Dapr。该操作会删除默认的$HOME/.dapr目录、二进制文件以及dapr_redis、dapr_placement、dapr_zipkin容器。若二进制安装在默认路径/usr/local/bin/或 docker 命令需要 sudo，Linux 用户需使用sudo：

dapr uninstall --all

随后安装最新版 CLI（从 CLI 发布页下载dapr二进制放入 PATH，或使用官方安装脚本），然后执行：

dapr init

等待更新完成，确认已使用最新版本（0.11.0）：

$ dapr --version CLI version: 0.11.0 Runtime version: 0.11.0

Kubernetes：从 0.10.0 升级

若此前使用 Helm 安装 Dapr，从本版本开始可以直接升级到新版本；若使用 CLI 安装，请直接跳转到下文"全新安装"。

1. 获取最新 CLI

按上文方式安装最新版 Dapr CLI 并放入 PATH。

2. 升级现有集群

首先添加新的 Dapr Helm 仓库（详见破坏性变更）并更新 Helm 仓库索引：

helm repo add dapr https://dapr.github.io/helm-charts/ --force-update helm repo update

按顺序执行以下命令升级控制平面与数据平面：

• 删除 ClusterRoleBinding（升级到 v0.11.0 必需，仅本版本需要）：

  kubectl delete clusterrolebinding dapr-operator

• 导出证书：

  dapr mtls export -o ./certs

• 更新 Dapr 控制平面 Pod，使用上面导出的证书：

  helm upgrade dapr dapr/dapr --version 0.11.0 --namespace dapr-system --reset-values --set-file dapr_sentry.tls.root.certPEM=./certs/ca.crt --set-file dapr_sentry.tls.issuer.certPEM=./certs/issuer.crt --set-file dapr_sentry.tls.issuer.keyPEM=./certs/issuer.key

  等待所有 Pod 进入 Running 状态：

  kubectl get pods -w -n dapr-system

  验证控制平面已更新且健康：

  $ dapr status -k NAME NAMESPACE HEALTHY STATUS REPLICAS VERSION AGE CREATED dapr-dashboard dapr-system True Running 1 0.3.0 15s 2020-09-28 13:07.39 dapr-sidecar-injector dapr-system True Running 1 0.11.0 15s 2020-09-28 13:07.39 dapr-sentry dapr-system True Running 1 0.11.0 15s 2020-09-28 13:07.39 dapr-operator dapr-system True Running 1 0.11.0 15s 2020-09-28 13:07.39 dapr-placement dapr-system True Running 1 0.11.0 15s 2020-09-28 13:07.39

• 更新数据平面（sidecar）：对启用 Dapr 的 Deployment 执行滚动更新，Pod 重启后将自动拉起新版本 sidecar：

  kubectl rollout restart deploy/<DEPLOYMENT-NAME>

全部完成！

Kubernetes：全新安装

如果此前是使用 Dapr CLI 安装的，先卸载（注意：必须使用你现有的 CLI 版本）：

dapr uninstall --kubernetes

出现任何报错都可以忽略。如果此前使用Helm 2.X安装：

helm del --purge dapr

如果此前使用Helm 3.X安装：

helm uninstall dapr -n dapr-system

更新 Dapr 仓库索引：

helm repo update

若你使用 Helm 将 Dapr 安装到了dapr-system之外的命名空间，请相应修改上面的卸载命令。

随后可按照 Helm 3 的安装指南安装 Dapr，或者使用新版 CLI：

dapr init --kubernetes

安装后验证

确认控制平面 Pod 全部运行且健康：

$ dapr status -k NAME NAMESPACE HEALTHY STATUS REPLICAS VERSION AGE CREATED dapr-dashboard dapr-system True Running 1 0.3.0 15s 2020-09-28 13:07.39 dapr-sidecar-injector dapr-system True Running 1 0.11.0 15s 2020-09-28 13:07.39 dapr-sentry dapr-system True Running 1 0.11.0 15s 2020-09-28 13:07.39 dapr-operator dapr-system True Running 1 0.11.0 15s 2020-09-28 13:07.39 dapr-placement dapr-system True Running 1 0.11.0 15s 2020-09-28 13:07.39

安装完成后，对已启用 Dapr 的 Deployment 执行滚动重启以拉起新版本 sidecar：

kubectl rollout restart deploy/<deployment-name>

破坏性变更（Breaking Changes）

Helm chart 仓库变更

Dapr Helm chart 仓库从https://daprio.azurecr.io/helm/v1/repo迁移至https://dapr.github.io/helm-charts/。运行以下命令添加新仓库：

helm repo add dapr https://dapr.github.io/helm-charts/ --force-update helm repo update

当前仓库的 charts/dapr/Chart.yaml 与 charts/dapr/README.md 即承载该 Helm chart 的元数据与使用说明，charts/dapr/values.yaml 定义了控制平面各组件（sentry、operator、placement、sidecar-injector、scheduler、dashboard 等）的可配置项。

gRPC State Transaction API 序列化变更

此前 gRPC State Transaction API 存在双重序列化问题，本版本已修复。因此，历史上通过 gRPC State Transaction API 保存的状态，将无法被 v0.11.0 代码正确反序列化。

例如，之前用 gRPC State Transaction API 保存字符串时，实际存储的内容是：

\"saved state\"

反序列化时读到的将是"saved state"（含引号）而非saved state；JSON 序列化值同样会被再次 marshal 后保存。v0.11.0 移除了双重序列化，任何依赖旧错误序列化格式的代码都需要相应调整后才能与 v0.11.0 正常工作。该问题对应 dapr/dapr 仓库的 issue #2016。

NATS pub/sub 组件实现变更

NATS pub/sub 组件的实现从 NATS 服务切换为NATS Streaming。使用方需要按 NATS Streaming 的方式重新配置与使用该组件。这属于 components-contrib 组件库层面的破坏性变更。

本地 secret store 重命名

本地 secret store 组件类型由secretstores.local.localsecretstore重命名为secretstores.local.file。若你使用过该组件，需要修改配置文件中的 type 名称。该变更与"本地 secret store 重构"以及新增的"环境变量 secret store"（secretstores.local.env）共同构成了 v0.11.0 密钥存储体系的重整。

Java SDK：W3C 追踪支持

Java SDK 现在支持在 API 调用中收发 trace context。所有 API 的复杂 Request 对象均提供 builder 方法：

withContext(io.grpc.Context context)

用于将 trace context 传给 Dapr。相应地，Dapr API 的响应被包装进Response对象，其中包含实际响应及其关联的 context。

旧方法签名：

Mono<Void> publishEvent(PublishEventRequest request);

新方法签名：

Mono<Response<Void>> publishEvent(PublishEventRequest request);

源码视角：安全与密钥能力的落地

v0.11.0 引入的若干安全特性在当前仓库源码中有清晰的落点，可以作为理解其底层设计的入口：

• 访问控制（ACL）：AccessControlSpec与AccessControlList定义在 pkg/config/configuration.go，运行时将其编译为内存数据结构，并用 pkg/config/acl_trie.go 的 Trie 实现操作名匹配；测试见 pkg/config/acl_trie_test.go。从数据结构设计可以推断，Trie 的选择是为了在每次服务调用鉴权时获得确定性的匹配性能。
• 密钥作用域：SecretsSpec/SecretsScope（pkg/config/configuration.go）支持defaultAccess、storeName、allowedSecrets、deniedSecrets四个维度，分别对应白名单、黑名单与按 store 隔离三种控制粒度。
• 密钥存储组件注册：pkg/components/secretstores/registry.go中的NewRegistry与RegisterComponent（pkg/components/secretstores/registry.go）展示了 secret store 的按名注册与按需实例化机制，环境变量 store 与本地文件 store 正是通过该机制接入运行时。
• 声明式订阅：订阅信息的汇聚与分发链路分布在 pkg/runtime/subscriptions.go、pkg/runtime/compstore/subscriptions.go 与 pkg/runtime/processor/subscription.go 中，与 pub/sub 构建块的消息处理循环协同工作。

结语

Dapr v0.11.0 是 Dapr 从"功能增长期"迈向"生产就绪期"的关键版本：声明式订阅简化了应用接入 pub/sub 的成本，SPIFFE 身份与访问控制列表为服务网格化的安全模型打下基础，密钥作用域与新的本地密钥方案完善了密钥治理，而 Helm 仓库迁移与平滑升级路径则回应了不断增长的生产部署诉求。如果你是 Dapr 的现有用户，建议参照本文升级步骤规划版本迁移，并重点关注破坏性变更一节中的序列化、NATS 与 secret store 重命名三项调整。

【免费下载链接】daprDapr is a portable runtime for building distributed applications across cloud and edge, combining event-driven architecture with workflow orchestration.项目地址: https://gitcode.com/GitHub_Trending/da/dapr