Release Notes

Mit der aktuellen FirstSpirit-Version ist der Kompressionsmodus Zstandard der Standardwert für FirstSpirit Protokoll-Kompression.

Das gilt für neue API-Verbindungen, Client-Verbindungseinstellungen und Servlets (web.xml).

Wenn die Verbindungsparameter bereits anders definiert wurden, bleiben die Einstellungen erhalten.

Die Umstellung auf Jakarta EE 6.0 ist ein wesentlicher Schritt, um die Sicherheit der Webanwendungen zu gewährleisten.

Unterstützung und Zeitpunkt für Maßnahmen

Hier ist der aktuelle Plan:

• Juni 2023: Beta-Version der FirstSpirit JakartaEE-Edition ist zum Testen verfügbar (erhältlich über Support)
• August 2023: Stable Release (Version: 2023.9) mit Unterstützung für automatische Migration
• August 2024: Die Unterstützung der automatischen Migration wird mit FirstSpirit 2024.9 eingestellt

Die FirstSpirit-Installation kann betroffen sein, wenn eine der folgenden Bedingungen zutrifft:

• Die FirstSpirit-Installation wird nicht in der Crownpeak Cloud gepflegt.
• Es wird ein benutzerdefiniertes Modul verwendet, das eine WebApp-Komponente mit Code enthält, der die alte JavaEE-API verwendet, z. B. die Servlet-API.
• Es wird ein benutzerdefiniertes Modul eingesetzt, das eine WebApp-Komponente mit Abhängigkeiten enthält, die das alte JavaEE-API verwenden, z. B. Spring Boot 2.x.

Das verwendete Modul könnte betroffen sein, wenn eine der folgenden Bedingungen erfüllt ist:

• Das Modul enthält eine WebApp-Komponente mit Code, der die alte JavaEE-API verwendet, z. B. die Servlet-API.
• Das Modul enthält eine WebApp-Komponente mit Abhängigkeiten, die die alte JavaEE-API verwenden, z. B. Spring Boot 2.x.

Weitere Informationen und Updates sind in der Crownpeak Community und in den ausführlichen Jakarta FAQ zu finden.
Bei Fragen oder Feedback zur Migration wenden Sie sich bitte an den Customer Support Team.

Folgende Modul-Versionen für FirstSpirit Content Experience Tools werden von FirstSpirit 2023.8 unterstützt.

Mit der aktuellen FirstSpirit-Version ist es möglich, über den EventBusAgent (FirstSpirit Developer-API, Package de.espirit.firstspirit.agency) entsprechende Events über SEO-URL-Änderungen (Klasse de.espirit.firstspirit.event.UrlEvent) zu bekommen.

Beispiel-Skript:

import de.espirit.firstspirit.agency.BrokerAgent;
import de.espirit.firstspirit.event.UrlEvent;
import de.espirit.firstspirit.agency.EventBusAgent;
import java.util.function.Consumer;

eventListener = new Consumer<UrlEvent>() {
	void accept(event) {
		...
	}
};

brokerAgent = context.requireSpecialist(BrokerAgent.TYPE);
specialistsBroker = brokerAgent.getBrokerByProjectName("<Projectname>");
eventBusAgent = specialistsBroker.requireSpecialist(EventBusAgent.TYPE);
eventBusAgent.register(UrlEvent.BUS_IDENTIFIER, eventListener);

// optional
Thread.sleep(<time>);
eventBusAgent.unregister(UrlEvent.BUS_IDENTIFIER, eventListener);

Die letzten beiden Zeilen sind optional und werden nur benötigt, wenn nicht dauerhaft auf die Events gehört werden soll.

Indem eine Content Security Policy über den CSP-Header festgelegt wird, können die erlaubten Quellen von Inhalten wie Skripten, Stylesheets, Bildern, Schriftarten und mehr definiert werden.

Der CSP-Header kann über den SecurityFilter mit Hilfe des Parameters ContentSecurityPolicyHeader konfiguriert werden.

Der Parameters ContentSecurityPolicyHeader kann in den folgenden Dateien konfiguriert werden und wird mit folgender Priorität ausgewertet:

• web.xml der WebApp [höchste Priorität]
• fs-server.conf
• Java System-Property
• OS Environment Property [niedrigste Priorität]

Standardwert des CSP Headers:

default-src 'self'; object-src 'none'; style-src 'self'; form-action 'self'; 
script-src 'self' 'nonce-$NONCE' $UPGRADE_INSECURE $FRAME_ANCESTORS

Folgende Platzhalter können in der Konfiguration verwendet werden:

• $NONCE - der für den aktuellen HTTP-Request gültige Nonce-Wert
• $FRAME_ANCESTORS - erlaubte Frame-Einbettung gemäß des frameOptionsHeader Properties aus der fs-server.conf.
  Die Ersetzung mit Default-Einstellungen: ; frame-ancestors 'self'
  Ist ALLOW_ALL eingestellt, ist die Ersetzung ein Leerstring.
• $UPGRADE_INSECURE - upgrade-insecure-requests gemäß dem, was für den SecurityFilter im Parameter TransportSecurity eingestellt ist bzw. dessen Standardwert.
  Der Standardwert ist KEEP_SECURE.
  Die Ersetzung mit Default-Einstellungen:
  • bei einem HTTPS-Request: ; upgrade-insecure-requests
  • bei einem HTTP-Request ist die Ersetzung ein Leerstring

web.xml der WebApp

Standardkonfiguration:

<filter>
   <filter-name>SecurityFilter</filter-name>
   <filter-class>de.espirit.firstspirit.io.servlet.SecurityFilter</filter-class>
   <init-param>
      <param-name>ContentSecurityPolicyHeader</param-name>
      <param-value>default-src 'self'; object-src 'none'; style-src 'self'; 
                   form-action 'self'; 
                   script-src 'self' 'nonce-$NONCE' $UPGRADE_INSECURE $FRAME_ANCESTORS
      </param-value>
   </init-param>
</filter>

Ein leerer Wert deaktiviert den CSP-Header:

<filter>
   <filter-name>SecurityFilter</filter-name>
   <filter-class>de.espirit.firstspirit.io.servlet.SecurityFilter</filter-class>
   <init-param>
      <param-name>ContentSecurityPolicyHeader</param-name>
      <param-value></param-value>
   </init-param>
</filter>

fs-server.conf

Standardkonfiguration:

securityFilter.ContentSecurityPolicyHeader=default-src 'self'; object-src 'none'; 
style-src 'self'; form-action 'self'; 
script-src 'self' 'nonce-$NONCE' $UPGRADE_INSECURE $FRAME_ANCESTORS

Ein leerer Wert deaktiviert den CSP-Header:

securityFilter.ContentSecurityPolicyHeader=

Java System-Property

• fs-wrapper.isolated.conf
• setenv.sh Datei des Tomcats

Der Wert kann über den Parameter
wrapper.java.additional.##=-DsecurityFilter.ContentSecurityPolicyHeader gesetzt werden, wobei ## die Zahl eines bisher noch nicht verwendeten Eintrags ist.

OS Environment Property

Der Wert kann über die Variable mit dem Namen
SecurityFilter_ContentSecurityPolicyHeader definiert werden.

Mit dem aktuellen FirstSpirit-Release wurde folgende intern verwendete Software aktualisiert:

• Spring Boot
  Aktualisierung von Version 2.7.0 auf Version 2.7.13