| 2019-04-22 |
- |
1.5.2 RELEASE版公開 |
| |
全般 |
ガイドラインの誤記(タイプミスや単純な記述ミスなど)の修正
記載内容の改善
記載内容の修正・追加
- ViewResolverの定義について、Spring 4.0以前からの
<bean>要素を使用した定義方法を削除し、Spring 4.1以降の<mvc:view-resolvers>要素を使用した定義方法のみ解説するよう変更
- 利用するミドルウェアのバージョンを更新
Spring Framework 4.3.23よりXMLスキーマ処理が改善されたため、ブランクプロジェクトにおけるBean定義ファイルのXMLスキーマファイル(.xsd)参照をhttpからhttpsに変更
|
| |
Thymeleaf対応 |
以下のThymeleaf対応章を追加
記載内容の修正・追加
- Decoupled Template Logicの適用方法についての記述を追加
- JavaScriptのテンプレート化についての記述を追加
- テンプレートHTMLのデバッグについての記述を追加
- フレームワークスタックに
thymeleaf-extras-java8timeを追加
thymeleaf-extras-springsecurity4を使用する際のHTMLテンプレートのXML namespaceの記述を修正
|
| |
ガイドラインの観点別マッピング |
OWASP Top 10 を2013版から2017版へ変更
- OWASP(Open Web Application Security Project)による観点の更新
|
| |
Macchinetta Server Framework (1.x)のスタック |
利用するOSSのバージョンを更新
- Spring IO PlatformのバージョンをBrussels-SR17に更新
- Spring Frameworkのバージョンを4.3.23に更新
- Spring Securityのバージョンを4.2.12に更新
- Spring Dataのバージョンを1.13.20に更新
- Spring Security OAuthを2.0.17に更新
- Hibernate Validatorのバージョンを5.3.6.Finalに更新
- Jacksonのバージョンを2.8.11に更新
- MyBatisのバージョンを3.4.6に更新
- MyBatis-springのバージョンを1.3.2に更新
- thymeleaf-extras-java8time 3.0.1を追加
利用するOSSのバージョンの更新による主な変更
- Spring Security 4.2.5で変更となったセキュリティヘッダの付与タイミングによる、リクエストパスのマッチングにおける注意事項の追加
- Spring Security OAuth 2.0.17よりリダイレクトURIのホワイトリストチェックの仕様が変更されたことへの対応
- Lombok 1.16.22より
@Dataと@NoArgsConstructorを付与する順序によってコンパイルエラーが発生するようになったことへの対応
TERASOLUNA Server Framework for Java (5.x)の共通ライブラリの新機能追加
terasoluna-gfw-validator
- バイト長チェック用Bean Validation制約アノテーション
@ByteSize
共通ライブラリの機能改善
terasoluna-gfw-common
SimpleReloadableI18nCodeListの追加@ExistInCodeList で Number 型をサポートするよう改善ReloadableCodeList のイミュータブル対応に伴う CodeListInterceptorの仕様変更
|
| |
アプリケーション層の実装 |
記載内容の追加
- Spring Framework 4.3より追加された
@RequestMappingの合成アノテーションの説明を追加
- Thymeleafのプリプロセッシングについて、解決された値により自動的に型が判定されることについての注意事項を追加
|
| |
Webアプリケーション向け開発プロジェクトの作成 |
記載内容の追加
- 大量にコードリストを定義する場合のBean定義方法に関する記載を追加
|
| |
入力チェック |
記載内容の追加
- Hibernate Validatorで提供される
TimeProviderを実装することで、基準日付の変更が可能である旨の説明を追加
|
| |
例外ハンドリング |
記載内容の修正
DefaultHandlerExceptionResolverがハンドリングする例外一覧にSpring Framework 4.2より追加されたorg.springframework.web.bind.MissingPathVariableExceptionを追加SystemExceptionResolver#preventResponseCachingとSpring SecurityのCache-Controlヘッダの併用についての注意を追加
|
| |
ページネーション |
構成見直し
- Overviewを取得データの表示、ページネーションリンクの表示、ページネーション情報の表示の3点について説明するように変更
|
| |
メッセージ管理 |
記載内容の修正
SPRING_SECURITY_LAST_EXCEPTION が格納されるスコープの誤記を修正
|
| |
国際化 |
記載内容の追加
AcceptHeaderLocaleResolverとLocaleChangeInterceptorの指定可能な設定についての説明を追加
|
| |
コードリスト |
記載内容の修正
- 独自カスタマイズしたコードリストのBean定義方法を、コンポーネントスキャンからBean定義ファイルによる定義に変更
|
| |
ファイルダウンロード |
記載内容の追加
|
| |
|
OWASP Top 10 2017対応に伴う修正
- A8:2017に関連する、デシリアライズ時のWarningを追加
- Macchinetta Server Framework (1.x)ではXXE対策済みのSpring MVCを使用しているため、
XXE対策についてのWarningをNoteへ変更し、spring-oxmによる対策方法の記述を削除
|
| |
|
OWASP Top 10 2017対応に伴う修正
- Macchinetta Server Framework (1.x)ではXXE対策済みのSpring MVCを使用しているため、
XXE対策についてのWarningをNoteへ変更し、spring-oxmによる対策方法の記述を削除
記載内容の追加
- Spring Framework 4.3より追加された
@RequestMappingの合成アノテーションの説明を追加
記述内容の修正
|
| |
データベースアクセス（MyBatis3編） |
記載内容の追加
Pageable を利用した検索結果のソートについての説明を追加- JSR-310 Date and Time APIを使う場合の設定の記事を削除し、依存ライブラリとして別途
mybatis-typehandlers-jsr310 を追加する必要はなくなった旨のNoteを追加
|
| |
ロギング |
記載内容の修正
- TERASOLUNA Server Framework for Java (5.x)の共通ライブラリが提供する
TraceLoggingInterceptorのWARNログ出力に関する閾値の設定例を修正
|
| |
Beanマッピング(Dozer) |
記載内容の削除
- 現バージョン（Dozer5.5.0以降）ではCollection<T>を使用したBean間のマッピングも可能であるため、マッピングが失敗する旨を記述したTodoを削除
|
| |
JMS(Java Message Service) |
OWASP Top 10 2017対応に伴う修正
- A8:2017に関連する、デシリアライズ時のWarningを追加
記載内容の修正・追加
- JMSを利用する際のBean定義の記載場所を再整理
- JNDIを使用しない場合の
DynamicDestinationResolverのBean定義方法に関する記載を追加
|
| |
認証 |
OWASP Top 10 2017対応に伴う修正
- A10:2017に関連する、ログイン認証時のログについてのTipを追加
記載内容の修正
PasswordEncoderインターフェースの実装クラス一覧を推奨するクラスのみ記載するように変更- 非推奨の
PasswordEncoderについて、ShaPasswordEncoderからMessageDigestPasswordEncoderを使用する方法に記載を変更
記載内容の追加
SPRING_SECURITY_LAST_EXCEPTION が格納されるスコープの説明を追加
|
| |
CSRF対策 |
OWASP Top 10 2017対応に伴う修正
- OWASP Top 10 2013版へのリンクをOWASP Cheat Sheetへのリンクへ変更
|
| |
ブラウザのセキュリティ対策機能との連携 |
記載内容の追加
- Spring Securityが提供する
HeaderWriterFilterの仕様変更とDelegatingRequestMatcherHeaderWriterでのリクエストパスのマッチングにおけるバグについての注意事項を追加
- Spring Securityがサポートするセキュリティヘッダの一覧にReferrer-Policyヘッダを追加
|
| |
OAuth |
記載内容の修正・追加
- CVE-2019-3778(オープンリダイレクト脆弱性)に関する注意喚起を追加
- Spring Security OAuthのバージョン更新に伴いリダイレクトURI情報を保持するテーブルへの説明にWarningを追加
alias属性を用いたauthentication-managerの定義に関する実装例、説明の修正
|
| |
チュートリアル(Todoアプリケーション) |
記載内容の修正・追加
- 一覧表示機能作成時に、登録機能の一部を作成していた部分を変更し、一覧表示機能の動作確認できるように、コード例を追加
- ガイドライン修正に伴う、サンプルコードの最新化
|
| |
チュートリアル(Todoアプリケーション REST編) |
記載内容の修正
- spring-mvc-rest.xmlを作成する方法の説明を変更
- ガイドライン修正に伴う、サンプルコードの最新化
|
| |
セッションチュートリアル |
記載内容の修正
|
| |
Spring Securityチュートリアル |
記載内容の修正
SPRING_SECURITY_LAST_EXCEPTION が格納されるスコープの誤記を修正- ガイドライン修正に伴う、サンプルコードの最新化
|
| |
ボイラープレートコードの排除(Lombok) |
記載内容の追加
- Lombok 1.16.22における
@Dataと@NoArgsConstructorを付与する順序についてのWarningを追加
|
| 2018-03-09 |
- |
1.5.1 RELEASE版公開 |
| |
Macchinetta Server Framework (1.x)のスタック |
CVE-2018-1199への対応のため、利用するOSSのバージョンを更新
- Spring Frameworkのバージョンを4.3.14に更新
- Spring Securityのバージョンを4.2.4に更新
|
| |
OAuth |
記載内容の修正
- 認可サーバのチェックトークンエンドポイントのURL設定が反映されない不具合へのWarningを削除
|
| 2017-12-22 |
- |
1.5.0 RELEASE版公開 |