この変更が意味すること
Angular v21.2.9 がリリースされました。今回はセキュリティ関連の修正が中心です。特に platform-server でのプロトコル相対 URL による SSRF バイパスの防止は、SSR を利用している Angular アプリケーションにとって重要な修正です。
また JsonpClientBackend への CSP nonce サポート追加により、コンテンツセキュリティポリシーを厳格に運用している環境での JSONP 利用が改善されます。
主な変更点
SSRF バイパス防止（platform-server）
platform-server でプロトコル相対 URL（//example.com 形式）を利用した SSRF バイパスが防止されるようになりました。SSR 環境でサーバーサイドからのリクエストが攻撃者に悪用されるリスクが軽減されます。
Commit: e0b5078
CSP nonce サポート（JsonpClientBackend）
JsonpClientBackend に CSP nonce のサポートが追加されました。Content Security Policy で script-src に nonce を要求している環境でも、JSONP リクエストが正しく動作するようになります。
Commit: 540536c
transfer state のフォワードスラッシュエスケープ
transfer state でフォワードスラッシュがエスケープされるようになりました。これにより、クローラーが transfer state の内容をインデックスしてしまう問題が防止されます。
Commit: f603d47
HTTP Passthru の修正
リアクティブコンテキスト外で Passthru が呼ばれた際の問題が修正されました。
Commit: 63a857b
EOL / サポート状況
| サイクル | 最新バージョン | サポート終了 | EOL |
|---|---|---|---|
| 21 | 21.2.9 | 2026-05-19 | 2027-05-19 |
| 20 | 20.3.18 | 2025-11-19 | 2026-11-28 |
| 19 | 19.2.20 | 2025-05-28 | 2026-05-19 |
| 18 | 18.2.14 | 2024-11-19 | 2025-11-21 (EOL済) |
| 17 | 17.3.12 | 2024-05-08 | 2025-05-15 (EOL済) |
Angular 19 の EOL が 2026年5月19日 に迫っています（残り32日）。19 を利用中の方は 20 または 21 への移行を計画してください。Angular 22.0.0-next.8 も公開されており、次期メジャーバージョンが進行中です。
開発者への影響
- Angular SSR 利用者: SSRF バイパス防止修正が含まれます。SSR を使っている場合はアップデートを推奨します
- CSP 厳格運用環境: JSONP を利用している場合、CSP nonce サポートにより
script-srcの nonce 要求と両立できます - SEO 対応者: transfer state のエスケープにより、クローラーへの不要なインデックスが防止されます
- Angular 19 利用者: EOL まで残り32日。20 または 21 への移行を早めに進めましょう
アップデート方法
# Angular CLI
ng update @angular/core@21.2.9 @angular/cli@21.2.9
# npm
npm install @angular/core@21.2.9
# yarn
yarn add @angular/core@21.2.9
データソース: GitHub Releases API, endoflife.date, npm Registry AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。