Actualización del producto Logto: Estado de cumplimiento, JWT personalizado, recursos de API para roles de organización y más

Estado de cumplimiento#

Logto Cloud ahora pasa todas las verificaciones de SOC 2 de la plataforma de automatización de cumplimiento. Hemos programado una auditoría SOC 2 Tipo I y estamos trabajando hacia una auditoría SOC 2 Tipo II.

JWT personalizado#

Los tokens de acceso JWT ahora se pueden personalizar con reclamos adicionales utilizando fragmentos de código JavaScript personalizados. Esta función es útil cuando necesitas incluir datos personalizados en el token para compatibilidad con otros sistemas.

Para usar esta función, navega a la pestaña "JWT personalizado" en la Consola. Tanto los tokens de usuario como los de máquina-a-máquina (M2M) se pueden personalizar.

Antes de implementar los cambios, puedes usar el botón "Ejecutar prueba" para ver cómo se verá el token con los reclamos personalizados.

Consulta 🎫 Reclamos de JWT personalizado para obtener más información.

Recursos de API para roles de organización#

Ahora puedes asignar permisos (scopes) de los recursos de API a roles de organización. Al igual que otros permisos en la plantilla de la organización, estos permisos son a nivel de la organización, lo que significa que solo se aplican a una organización específica.

Veamos un ejemplo:

• Hay un recurso de API llamado https://shopping.api/.
• El recurso API tiene dos scopes: read y write.
• Hay dos roles de organización: admin y user.
• El rol admin tiene scopes read y write; el rol user solo tiene el scope read.
• Una usuaria llamada Alice tiene asignado el rol admin en la organización foo, y el rol user en la organización bar.

Cuando Alice intenta intercambiar un token de organización para el recurso https://shopping.api/, ella recibirá un token con scopes basados en la organización para la cual está solicitando el token.

Para la organización foo, Alice recibirá un token con scopes read y write. Para la organización bar, ella solo recibirá un token con el scope read.

Consulta 🏢 Organizaciones (Multi-tenancy) para una introducción completa a las organizaciones.

Permisos de aplicaciones de terceros#

Los recursos de API organizacionales también se pueden utilizar al configurar permisos para aplicaciones de terceros. Se le pedirá al usuario que seleccione una organización al configurar permisos para una aplicación de terceros.

Datos personalizados de la organización#

Ahora puedes guardar datos adicionales asociados con la organización utilizando el campo customData a nivel de organización a través de:

• Edición en la página de detalles de la organización en la Consola.
• Especificando el campo customData al usar las APIs de Gestión de la organización.

Conectores#

• Se añadió el conector de Hugging Face.
• El conector de GitHub ahora incluye el scope user:email como parte del scope por defecto para obtener la lista de direcciones de correo electrónico privadas de la cuenta de GitHub.
  • Ahora selecciona el correo electrónico principal verificado entre la lista de direcciones de correo electrónico privadas como respaldo si el usuario no establece un correo electrónico público para la cuenta de GitHub.
• Se eliminó el signo de más delante del número de teléfono en el conector de feishu (#5801). Crédito para @kamto7.

Mejoras#

• Se añadió soporte para Redis Cluster y opciones TLS adicionales para conexiones Redis (#5619). Crédito para @alekitto.
• Los conectores OIDC y OAuth 2 ahora son compatibles con los métodos de autenticación client_secret_basic y client_secret_jwt para el endpoint de token.
• Cuando un usuario es eliminado o suspendido a través de la API de Gestión, será desconectado en Logto y sus sesiones serán invalidadas inmediatamente.
• Se añadió soporte para el parámetro resource separado por comas, ya que algunas bibliotecas no soportan matrices de recursos.
• Se añadió una API para obtener los scopes de la organización del usuario basados en los roles de organización del usuario (
  GET /api/organizations/:id/users/:userId/scopes
  ).
• Se añadió una guía de integración web de Java Spring Boot.
• Se añadieron frases en zh-cn en la página de consentimiento de OIDC (#5606). Crédito para @the-pawn-2017.

Correcciones#

• Las APIs de invitación a la organización deberían manejar los correos electrónicos de los invitados sin distinción entre mayúsculas y minúsculas.
• La API de Gestión no devolverá un 500 en producción para los códigos de estado que no están listados en la especificación OpenAPI.
• Devolver 403 en lugar de 400 cuando Logto intenta otorgar un token de acceso a un usuario que carece de los permisos necesarios, especialmente cuando se otorga para recursos relacionados con la organización.
• Corregido el callback incorrecto de inicio de sesión social que se envía al contenedor nativo (por ejemplo, WKWebView en iOS).
• Corregido el error que impedía que se activara el evento de registro de usuario nuevo desde SSO hook.
• Corregido un error en el que el indicador de recurso API no funcionaba si el indicador no era seguido por una barra inclinada final o un nombre de ruta.