Logto v1.41.0 bringt App-Ebene Zugriffssteuerung, Passwortablauf-Richtlinien, bedeutende Upgrades für das Account Center, konfigurierbare Benutzernamen- und Verifizierungscode-Regeln, sicherer Nachrichtenversand und eine Runde von Protokoll-/Sicherheitsverbesserungen.
SijieDeveloper
Verschwenden Sie keine Wochen mit Benutzerauthentifizierung
Bringen Sie sichere Apps schneller mit Logto auf den Markt. Integrieren Sie Benutzerauthentifizierung in Minuten und konzentrieren Sie sich auf Ihr Kernprodukt.
Logto v1.41.0 ist ein Release für Kontrolle und Sicherheit. Es gibt Teams feinere Möglichkeiten zu entscheiden, wer auf welche App zugreifen darf, vollständigere Kontrollen über den Passwortlebenszyklus und ein deutlich leistungsfähigeres Account Center für Endnutzer. Außerdem wird die Zustellung von Verifizierungscodes, Benutzernamenregeln, SAML/OIDC-Verarbeitung, MFA-Replay-Schutz und Upgradepfade für Self-Hosting verschärft. Hier sind die Neuerungen.
Jetzt kannst du den Zugang zu einer Anwendung direkt in Logto einschränken. Zugriffsregeln können sich an bestimmte Nutzer, Nutzerrollen, Organisationen oder Organisationsrollen richten.
Wenn ein Nutzer nicht zur konfigurierten Regel passt, blockiert Logto den Anmelde- oder App-Zugriffs-Flow mit einer Zugriff verweigert-Seite, anstatt die Anfrage fortzusetzen. Das macht App-Rollouts, kundenspezifischen Zugang, Schutz von internen Tools und organisationsbezogenen Zugang leichter verwaltbar, ohne jede Entscheidung in deinen Anwendungscode verschieben zu müssen.
Die Konsole unterstützt jetzt mandantenweite Passwortablauf-Richtlinien unter Sicherheit > Passwort-Richtlinie.
Admins können den Ablauf von Passwörtern aktivieren, konfigurieren, wie viele Tage ein Passwort gültig bleibt und das Passwort eines bestimmten Nutzers von der Benutzerübersicht manuell ablaufen lassen. Wenn ein Passwort abläuft, muss der Nutzer es über die konfigurierte Wiederherstellungs-Methode zurücksetzen, bevor die Anmeldung mit Passwort fortgesetzt werden kann.
SSO- und Passkey-Anmeldungen sind davon nicht betroffen. Bestehende Nutzer ohne gespeicherten Zeitpunkt eines Passwortwechsels werden elegant behandelt: Logto setzt sie auf die Zeit, zu der die Richtlinie aktiviert wurde, sodass sie die vollständige Gültigkeitsdauer haben und nicht sofort ablaufen.
Account Center bekommt mehr Self-Service-Kontrollen#
Das Account Center entwickelt sich weiter zu einer vollständigen Self-Service-Identitätsplattform für Endnutzer.
Dieses Release bringt Sitzungsverwaltung, die Überprüfung verbundener Drittanbieter-Anwendungen, Profilverwaltung, Avatar-Upload, Avatar-Upload beim Profil-Sammeln während der Anmeldung, unabhängige Passkey-Kontrollen sowie eine nutzerseitige Einstellung für Passkey-Anmeldehinweise.
Die Profilseite im Account Center, benutzerdefinierte Profilfelder bei der Anmeldung und Endpunkte für Avatar-Upload sind jetzt ebenfalls aus den Dev-Feature-Gates entlassen.
Auch ein paar wichtige Korrekturen wurden implementiert:
Theme, Plattform und Markenfarbe werden vor der Hydration angewendet, um optisches Flackern zu reduzieren.
Step-up-Verifikation ist auf Nutzerberechtigungsverifikationsdatensätze beschränkt.
Soziale Identitäten können verknüpft werden, ohne dass Passwort-, E-Mail- oder Telefon-Verifizierung erforderlich ist, wenn der Nutzer keine alten Sicherheitsprüfmethoden hat.
Konsolen-Benutzernamenbearbeitung leitet jetzt zum Account Center weiter, damit die erforderliche Verifizierung abgeschlossen werden kann.
Mandantenweite Benutzernamenregeln können jetzt unter Konsole > Anmeldungserlebnis > Anmeldung und Anmeldung > Erweiterte Optionen konfiguriert werden.
Die Richtlinie umfasst Groß-/Kleinschreibung, Längenbegrenzungen und erlaubte Zeichentypen. Sie gilt für alle Endnutzer-Benutzernamen-Änderungen, einschließlich Anmeldung, Profilvervollständigung, Account Center, Account API und /me.
Die Umstellung auf Groß-/Kleinschreibungs-unabhängige Benutzernamen ist abgesichert: Logto prüft, ob es bestehende Benutzernamen gibt, die sich nur durch Groß-/Kleinschreibung unterscheiden, und blockiert die Richtlinienänderung, bis Konflikte gelöst sind. Der OIDC-Claim preferred_username fällt jetzt auch auf den username des Nutzers zurück, wenn profile.preferredUsername nicht gesetzt ist.
Verifizierungscode-Kontrolle zieht ebenfalls in die Konsolen-Sicherheitseinstellungen um. Admins können die Ablaufdauer von Verifizierungscodes und die maximale Anzahl der Wiederholungsversuche konfigurieren.
Logto setzt jetzt eine systemweite Sendefrequenzbegrenzung pro Empfänger über alle E-Mail/SMS-Verifizierungs- und Einladungspfade um, einschließlich Experience, MFA, Account API, Management API, /me, Organisationseinladungen und der klassischen Interaktions-API.
Wenn das Senden gedrosselt wird, löst Logto ein Message.RateLimited-Webhook-Event aus, das jetzt in den Konsolen-Webhook-Einstellungen ausgewählt werden kann.
Verifizierungscode-Zustellung an unbekannte Empfänger wird außerdem unterdrückt, wenn die Registrierung deaktiviert ist, was das Risiko von Kontoermittlungen reduziert.
Für Organisation-API-Resource-Tokens erhält der Access-Token-JWT-Customizer jetzt context.organization mit der ID, dem Namen, der Beschreibung und den customData der Zielorganisation.
Das erleichtert das Hinzufügen von organisationsspezifischen Claims, ohne jedes Mapping in jedes Token einzubetten.
Einige API-Verbesserungen sind ebenfalls enthalten:
POST /api/applications/:applicationId/roles ist jetzt idempotent. Bestehende Rollen-IDs werden ignoriert, statt 422 application.role_exists zurückzugeben.
Der Endpunkt gibt jetzt 201 mit { roleIds, addedRoleIds } zurück und entspricht damit der API-Form für Rollen-Zuweisungen an Nutzer.
Organisation-Rollenerstellung mit Anfangsberechtigungen ist jetzt transaktional, sodass ungültige Scope-IDs keine teilweise erstellten Rollen zurücklassen.
Dieses Release beinhaltet gezielte Protokoll- und Sicherheitsbehebungen:
SAML-IdP-Auto-Submit-Formulare maskieren jetzt HTML-Attributwerte und verweigern Nicht-HTTP(S)-Action-URLs.
samlify wurde auf ^2.13.0 aktualisiert für verbessertes XML-Escaping in generierten SAML-Assertions.
TOTP-MFA-Verifizierung lehnt wiederholte Codes aus demselben oder einem älteren Zeitschrittzähler ab.
OIDC-Request-Bodies mit Null-Bytes geben jetzt 400 invalid_request zurück.
Audit-Log-Payloads entfernen Null-Bytes vor der Einfügung.
E-Mail-Sub-Addressing-Blocklist-Prüfungen bauen keine regulären Ausdrücke mehr aus nutzerkontrolliertem Input.
Logto Tunnel verhindert beim Dateiabruf außerhalb des Experience-Pfads das Lesen statischer Dateien.
Kompatibilitäts- und Speicherbehebungen sind ebenfalls dabei: Ältere Safari- und iOS 15-Clients stürzen beim Start nicht mehr wegen nicht unterstützter Regex-Lookbehind-Syntax ab. OIDC-Enterprise-Connectoren können die Discovery-Konfiguration jetzt von Anbietern abrufen, die JSON-only-Antwortaushandlung zurückweisen. Fehler beim Transport eigener UI-Assets mit Azure Blob werden jetzt als wiederholbare Speicher-Download-Fehler abgebildet.
Ein Datenbank-Migration ist für v1.41.0 erforderlich. Dieses Release enthält Schemaänderungen für Passwortablauf, Benutzername-Policy, Verifizierungscode-Policy, Nachrichtenraten-Sentinel-Indizes, Account-Center-Standards und Service-Log-Indizes.
Nach dem Upgrade führe den Befehl zur Datenbankänderung aus, bevor die neue Version startet. Details findest du im Upgrade Guide.
Die Umgebungsvariable CASE_SENSITIVE_USERNAME ist jetzt veraltet. Sie funktioniert noch als Laufzeit-Override, aber die Groß-/Kleinschreibung von Benutzernamen sollte pro Mandant über die neue Benutzername-Policy eingestellt werden. Die Variable wird mit der nächsten Hauptversion entfernt.
