Logto-Produktaktualisierung: Compliance-Status, benutzerdefinierte JWTs, API-Ressourcen für Organisationsrollen und mehr
Wir freuen uns, die neuesten Updates zu Compliance und neuen Funktionen zu teilen. Es war ein produktiver Monat für das Logto-Team, also stelle sicher, dass du dir deinen Lieblingskaffee zubereitet hast, bevor du eintauchst.
GaoFounder
Verschwenden Sie keine Wochen mit Benutzerauthentifizierung
Bringen Sie sichere Apps schneller mit Logto auf den Markt. Integrieren Sie Benutzerauthentifizierung in Minuten und konzentrieren Sie sich auf Ihr Kernprodukt.
Logto Cloud hat nun alle SOC 2-Prüfungen der Compliance-Automatisierungsplattform bestanden. Wir haben ein SOC 2 Type I Audit geplant und arbeiten auf ein SOC 2 Type II Audit hin.
JWT-Zugriffstoken können nun mit zusätzlichen Claims unter Verwendung benutzerdefinierter JavaScript-Code-Snippets angepasst werden. Diese Funktion ist nützlich, wenn du benutzerdefinierte Daten im Token hinzufügen musst, um mit anderen Systemen kompatibel zu sein.
Um diese Funktion zu nutzen, navigiere zum Tab "Custom JWT" in der Konsole. Sowohl Benutzer- als auch Maschine-zu-Maschine (M2M)-Tokens können angepasst werden.
Bevor du die Änderungen veröffentlichst, kannst du den "Run test"-Button verwenden, um zu sehen, wie das Token mit den benutzerdefinierten Claims aussehen wird.
Du kannst nun Berechtigungen (Scopes) aus den API-Ressourcen Organisationsrollen zuweisen. Wie andere Berechtigungen in der Organisationstemplate, sind auch diese Berechtigungen auf Organisationsebene, was bedeutet, dass sie nur für eine bestimmte Organisation gelten.
Schauen wir uns ein Beispiel an:
Es gibt eine API-Ressource namens https://shopping.api/.
Die API-Ressource hat zwei Scopes: read und write.
Es gibt zwei Organisationsrollen: admin und user.
Die admin-Rolle hat sowohl read- als auch write-Scopes; die user-Rolle hat nur den read-Scope.
Ein Benutzer Alice erhält die admin-Rolle in der Organisation foo und die user-Rolle in der Organisation bar.
Wenn Alice versucht, ein Organisationstoken für die https://shopping.api/-Ressource zu tauschen, erhält sie ein Token mit Scopes, die darauf basieren, für welche Organisation sie das Token anfordert.
Für die Organisation foo erhält Alice ein Token mit beiden Scopes read und write. Für die Organisation bar erhält sie ein Token mit nur dem read-Scope.
Organisatorische API-Ressourcen können auch bei der Konfiguration von Berechtigungen für Drittanbieter-Apps verwendet werden. Der Benutzer wird aufgefordert, eine Organisation auszuwählen, wenn er Berechtigungen für eine Drittanbieter-App konfiguriert.
GitHub-Konnektor hat jetzt das user:email als Teil des Standard-Scopes, um die private E-Mail-Liste des GitHub-Kontos abzurufen.
Wählt nun die verifizierte primäre E-Mail unter den privaten E-Mail-Adressen als Fallback aus, falls der Benutzer keine öffentliche E-Mail für sein GitHub-Konto festgelegt hat.
Entfernte das Pluszeichen vor der Telefonnummer im Feishu-Konnektor (#5801). Danke an @kamto7.
Organisationseinladungs-APIs sollten Einladungs-E-Mails ohne Groß- und Kleinschreibung behandeln.
Die Verwaltungs-API wird im Produktionsmodus keine 500 zurückgeben für Statuscodes, die nicht in der OpenAPI-Spezifikation aufgeführt sind.
Gib 403 statt 400 zurück, wenn Logto versucht, einem Benutzer, dem die erforderlichen Berechtigungen fehlen, ein Zugriffstoken zu gewähren, insbesondere bei der Gewährung für organisationsbezogene Ressourcen.
Behebung des Fehlers, dass der falsche Social-Sign-In-Callback im nativen Container (z. B. WKWebView in iOS) gepostet wurde.
Behebung des Fehlers, dass der neue Benutzer vom SSO-Registrierungshook-Ereignis nicht ausgelöst wird.
Behebung eines Fehlers, bei dem der API-Ressourcenindikator nicht funktioniert, wenn der Indikator nicht durch einen nachgestellten Schrägstrich oder einen Pfadnamen gefolgt wird.
