تحديثات منتج Logto

نحن متحمسون للإعلان عن Logto v1.38.0، إصدار مارس 2026! يضيف هذا التحديث تدفق الجهاز للتطبيقات ذات الإدخال المحدود، ويقدم دخول بمفتاح المرور وتحسينات MFA التكيّفية، ويوسع عناصر التحكم في الجلسة والمنح وتكوين مستوى المستأجر في Logto.

تدفق الجهاز للتطبيقات ذات الإدخال المحدود#

واحدة من أكبر الإضافات في هذا الإصدار هي دعم منح ترخيص الجهاز لـ OAuth 2.0. هذا يجعل من السهل جدًا بناء تدفقات المصادقة للأجهزة التي لا تحتوي على لوحة مفاتيح كاملة أو تجربة متصفح، مثل أجهزة التلفزيون الذكية، وأدوات CLI، وأجهزة الألعاب، وأجهزة إنترنت الأشياء.

مع تدفق الجهاز، يمكن للمستخدمين:

• بدء تسجيل الدخول على الجهاز
• فتح رابط التحقق على جهاز آخر
• إدخال رمز مستخدم قصير
• إكمال المصادقة هناك
• العودة إلى الجهاز الأصلي بالحصول على الرموز

أضفنا أيضًا دعمًا كاملاً لـ Console لتطبيقات تدفق الجهاز. يمكنك الآن إنشاء تطبيقات تدفق الجهاز عن طريق اختيار تطبيق ذو إدخال محدود / CLI ضمن التطبيقات المحلية، أو باختيار تدفق الجهاز كتدفق ترخيص عند إنشاء تطبيق يدويًا. تتضمن صفحة إعدادات التطبيق أيضًا دليلًا مدمجًا وعرضًا تجريبيًا لمساعدتك على البدء.

دخول مفاتيح المرور يصبح تدفقًا رئيسيًا#

يقدم هذا الإصدار دخول مفاتيح المرور كطريقة مصادقة كاملة في Logto.

يوفر دخول مفتاح المرور تجربة أسرع وخالية من كلمة المرور للمستخدمين العائدين مع تحسين أمان الحساب أيضًا. يعمل مع أدوات المصادقة المألوفة مثل Face ID و Touch ID و Windows Hello.

أضفنا دعمًا لعدة سيناريوهات مستخدمين مبنية على مفاتيح المرور:

• زر المتابعة بمفتاح المرور مخصص لتسجيل الدخول الفوري
• تدفق يركز على المعرف يعطي أولوية للتحقق من مفتاح المرور قبل العودة إلى كلمة المرور أو رمز التحقق
• دعم الملء التلقائي للمتصفح ليختار المستخدم مفتاح مرور محفوظ مباشرة من حقل المعرف
• ربط مفتاح المرور أثناء التسجيل للمستخدمين الجدد
• إعادة استخدام بيانات MFA WebAuthn الحالية لدخول مفتاح المرور دون الحاجة إلى خطوة تسجيل أخرى

لمزيد من التفاصيل، راجع توثيق دخول مفتاح المرور.

MFA تكيفي وتوجية أفضل لمصادقة MFA#

يستمر هذا الإصدار في استثمارنا في تجارب MFA الحديثة مع تحسينين رئيسيين.

MFA تكيفي#

الآن يدعم Logto MFA التكيفي. عند تفعيله، يقوم تدفق تسجيل الدخول بتقييم قواعد MFA التكيفية بناءً على سياق تسجيل الدخول الحالي ويتطلب MFA عند تفعيل تلك القواعد.

يشمل ذلك أيضًا:

• تكوين MFA تكيفي في Console
• حفظ سياق تسجيل الدخول في بيانات التفاعل
• الوصول إلى context.interaction.signInContext في سكريبتات المزايا المخصصة
• حدث webhook جديد PostSignInAdaptiveMfaTriggered

إعداد اختياري لـ MFA#

بالنسبة للمستخدمين الذين ليس مطلوبًا منهم تفعيل MFA، يمكن الآن لـ Logto عرض صفحة إعداد مخصصة بعد التحقق من بيانات الاعتماد، وسؤالهم ما إذا كانوا يريدون تفعيل MFA لحماية أفضل.

هذا مفيد بشكل خاص بالاقتران مع دخول مفتاح المرور، حيث قد يرغب المستخدم في استخدام مفاتيح المرور للدخول دون تفعيلها كعامل MFA في نفس الوقت.

إدارة الجلسات والمنح عبر APIs وConsole#

يضيف هذا الإصدار مجموعة رئيسية من عناصر التحكم في الحساب والإدارة حول جلسات المستخدمين والتطبيقات المصرح بها.

إدارة جلسات المستخدمين#

يدعم Logto الآن إدارة الجلسات في كل من واجهات برمجة التطبيقات للحساب والإدارة. يمكنك عرض الجلسات النشطة، والتحقق من تفاصيل الجلسة، وإلغاء الجلسات مع خيار تأثير إلغاء المنح.

أضفنا أيضًا:

• إذن session جديد في إعدادات مركز الحسابات مع خيارات off و readOnly و edit
• نطاق مستخدم urn:logto:scope:sessions جديد للوصول إلى واجهة برمجة تطبيقات الحساب الخاصة بالجلسات
• سياق جلسة أكثر ثراءً يشمل IP، ووكيل المستخدم، والموقع الجغرافي عندما يكون متاحًا

في Console، تتضمن تفاصيل المستخدم الآن قسم الجلسات النشطة وصفحة تفاصيل الجلسة المخصصة مع دعم الإلغاء.

إدارة منح التطبيقات المصرح بها#

يدعم Logto الآن عرض وإلغاء منح التطبيقات للمستخدمين في كل من واجهات برمجة التطبيقات للحسابات والإدارة.

يضيف هذا الإصدار أيضًا قسم تطبيقات الطرف الثالث المصرح بها في صفحة تفاصيل المستخدم بـ Console. يمكن للمسؤولين الآن رؤية التراخيص النشطة للأطراف الثالثة، ومراجعة بيانات مثل اسم التطبيق ووقت الإنشاء، وإلغاء الوصول مباشرة من واجهة المستخدم.

حدود عدد الأجهزة المتزامنة لكل تطبيق#

يمكن للتطبيقات الآن تحديد قيمة maxAllowedGrants في customClientMetadata لتقييد عدد المنح النشطة التي يمكن للمستخدم الاحتفاظ بها لتطبيق معين. بمجرد تجاوز الحد المخصص، يقوم Logto تلقائيًا بإلغاء أقدم المنح.

يتضمن Console أيضًا قسم حد الأجهزة المتزامنة جديد في تفاصيل التطبيق ليكون التكوين بصريًا.

مزيد من عناصر تحكم OSS لإعدادات OIDC#

لمستخدمي OSS، يجعل هذا الإصدار إعدادات OIDC أكثر قابلية للتكوين وأسهل في الإدارة.

يمكنك الآن تحديد oidc.session.ttl في logto-config لتخصيص مدة صلاحية جلسة مزود OIDC بالثواني. إذا لم يتم التعيين، فإن الافتراضي يبقى 14 يومًا.

أضفنا أيضًا:

• GET /api/configs/oidc/session
• PATCH /api/configs/oidc/session

على جانب Console، يحصل OSS الآن على صفحة المستأجر -> الإعدادات جديدة، مع تبويب إعدادات OIDC الذي يحل محل صفحة المفاتيح القديمة. تتضمن الصفحة الجديدة أيضًا حقل الحد الأقصى لمدة صلاحية الجلسة لتكوين مدة الجلسة بالأيام.

إذا كنت تشغل OSS، تذكر إعادة تشغيل الخدمة بعد تغييرات التكوين حتى يتم تحميل إعدادات OIDC الجديدة. إذا أردت أن تدخل تحديثات التكوين حيز التنفيذ تلقائيًا، فكر في تفعيل ذاكرة Redis المركزية.

تحسينات مركز الحساب#

يحصل مركز الحساب الجاهز للاستخدام أيضًا على عدة ترقيات مفيدة في هذا الإصدار.

يمكن للمستخدمين الآن:

• استبدال تطبيق المصادق عن طريق مسار /authenticator-app/replace المخصص
• استخدام متغير URL identifier لملء حقول المعرف مسبقًا
• تجاوز لغة مركز الحساب المدمجة باستخدام متغير URL ui_locales

حسَّنَّا أيضًا نماذج كلمة المرور لتوافق أفضل مع الملء التلقائي للمتصفح ومديري كلمات المرور.

تحسينات API موجهة للمطورين#

للفرق التي تهاجر مستخدمين إلى Logto، تدعم نقطتا النهاية GET /users وGET /users/:userId الآن متغير الاستعلام includePasswordHash. عند تمكينه، يتضمن الرد passwordDigest وpasswordAlgorithm، ما يساعد في عمليات الترحيل التي تتطلب بيانات تجزئة كلمة المرور الخام.

أضفنا أيضًا دعم تبادل رموز الوصول في سيناريوهات تفويض خدمة-إلى-خدمة. يمكن لـ Logto الآن تبادل رموز الوصول الغامضة أو JWT برموز وصول جديدة بجمهور مختلف باستخدام نوع الرمز القياسي urn:ietf:params:oauth:token-type:access_token.

إصلاحات الأخطاء#

يتضمن هذا الإصدار أيضًا عدة تحسينات على الاستقرار والتوافق:

• طرق تحقق MFA لـ TOTP وWebAuthn وأكواد النسخ الاحتياطي تدعم الآن تقارير النشاط إلى Sentinel، ما يجعل تكرار الفشل أسهل في الاكتشاف والعزل.
• استعلامات أداة OIDC لمتغيري findByUid وfindByUserCode تستخدم الآن مفاتيح JSONB حرفية لجعل فهارس العبارات تعمل أفضل ضمن خطط الإعداد العامة.
• تهيئة حوض Postgres يعيد المحاولة الآن عند أخطاء الاتصال المؤقتة عند بدء التشغيل.
• يدعم التحقق من كلمة المرور القديم الآن قيم PBKDF2 المسبوقة بـ hex: أثناء استيراد المستخدمين.
• تم تحسين أداء تبادل الرمز من خلال تخزين بيانات OIDC الحيوية مؤقتًا وتوليد معرفات المنح مسبقًا أثناء إصدار الرموز.
• يتم الآن تنسيق أرقام Twilio SMS To للأرقام غير E.164 بواسطة إضافة علامة + في البداية.

تغييرات جوهرية#

يتضمن هذا الإصدار تغييرًا جوهريًا في حقيبة أدوات الموصلات.

تمت إزالة التصدير الذي طال عليه الأمد mockSmsVerificationCodeFileName من @logto/connector-kit.

قمنا أيضًا بتحديث مسارات الملفات المستخدمة من قبل موصلات المحاكاة لتخزين سجلات الرسائل المرسلة:

• /tmp/logto_mock_email_record.txt -> /tmp/logto/mock_email_record.txt
• /tmp/logto_mock_sms_record.txt -> /tmp/logto/mock_sms_record.txt

إذا كانت تدفقات العمل المحلية أو المعتمدة على Docker تعتمد على المسارات القديمة، ستحتاج إلى تحديثها.

مساهمون جدد#

شكرًا لمساهمينا الجدد لتحسين Logto:

• @taka-guevara قام بأول مساهمة له في #8555
• @synchrone قام بأول مساهمة له في #8504
• @ppotaczek و @leoshusar قاموا بأول مساهمة لهم في #8526

ابدأ الآن#

مستعد للترقية؟ راجع دليل الترقية الخاص بنا للتعليمات خطوة بخطوة.

للاطلاع على القائمة الكاملة للتغييرات، راجع صفحة إصدار GitHub.

هل لديك أسئلة أو ملاحظات؟ انضم إلينا على Discord أو افتح قضية على GitHub.