Actualizaciones de producto de Logto

Logto API SDK#

Un SDK de TypeScript para interactuar con la Management API de Logto utilizando autenticación por credenciales de cliente.

Cómo funciona:

1. Crea una aplicación de machine-to-machine en la Consola de Logto.
2. Otorga acceso a la aplicación a la Management API.
3. Instala el SDK via npm: npm install @logto/api
4. Usa createManagementApi() para crear un cliente tipado de la Management API con las credenciales de tu aplicación.

Destacados:

• Maneja automáticamente la autenticación y renovación de tokens OAuth.
• Soporta tanto Logto Cloud como instancias autoalojadas.
• Simplifica la integración con la Management API de Logto, permitiéndote enfocar en desarrollar funcionalidades en vez de manejar solicitudes API de bajo nivel.

Bóveda de secretos#

La Bóveda de secretos es una solución de almacenamiento seguro en Logto para manejar datos sensibles de usuarios, incluyendo access tokens, claves API, códigos de acceso y otra información confidencial. Estos secretos normalmente se utilizan para acceder a servicios de terceros en nombre de los usuarios, haciendo que el almacenamiento seguro sea fundamental.

Soporte para almacenamiento de tokens federados#

Ahora se soporta el almacenamiento de tokens tanto para conectores sociales como empresariales de SSO. Cuando está activo, Logto almacena el conjunto de tokens emitido por el proveedor de identidad después de la autenticación exitosa. Las aplicaciones pueden luego recuperar el access token más tarde, sin requerir que el usuario vuelva a autenticarse, para llamar a APIs de terceros.

Conectores soportados:

• Conectores sociales: GitHub, Google, Facebook, OAuth 2.0 estándar y OIDC estándar
• Conectores empresariales SSO: Todos los conectores de SSO basados en OIDC

Cómo funciona:

1. Activa el almacenamiento de tokens para conectores de SSO sociales y empresariales en la Consola de Logto o vía la Management API de Logto.
2. Una vez habilitado, Logto almacena automáticamente el conjunto de tokens emitidos por el proveedor tras una autenticación exitosa.
3. Recupera el token almacenado a través del Account API cuando lo necesites.

Para más detalles, consulta la documentación de la Bóveda de secretos.

Añadir TOTP y Códigos de Respaldo vía Account API#

Ahora los usuarios pueden añadir TOTP y códigos de respaldo a través del Account API.

• POST /api/my-account/mfa-verifications/totp-secret/generate: Genera un secreto TOTP.
• POST /api/my-account/mfa-verifications/backup-codes/generate: Genera códigos de respaldo.
• POST /api/my-account/mfa-verifications: Añade un TOTP o código de respaldo utilizando el secreto o códigos generados.
• GET /api/my-account/mfa-verifications/backup-codes: Recupera los códigos de respaldo.

Otras mejoras#

• Conectores sociales: Se añadió soporte para proveer un parámetro scope personalizado al generar la URL de autorización para los conectores sociales. Esto permite solicitar permisos adicionales al proveedor social al llamar al endpoint de verificación social de Logto. Si se proporciona el scope, se utilizará en la solicitud de autorización; si no, se usará el scope predeterminado configurado en los ajustes del conector.
• Consola: Para soportar mejor la nueva función de la Bóveda de secretos, hemos reestructurado el diseño de la página de detalles del usuario. Las identidades sociales y SSO empresariales de los usuarios ahora están organizadas en una nueva sección de Conexión. Esta sección lista todas las conexiones vinculadas del usuario, mostrando información sobre identidades de terceros y el estado del almacenamiento del token (si aplica). También está disponible una página detallada de identidad de usuario para cada conexión, proporcionando más información sobre la identidad vinculada y los tokens asociados.

Corrección de errores#

Restricción de clave foránea con conocimiento de arrendatario para la tabla organization_user_relations

Problema

Los desarrolladores podían asignar erróneamente un user_id de otro arrendatario a una organización, causando errores 500 en los endpoints de usuario de la organización. La tabla original organization_user_relations sólo tenía una restricción de clave foránea sobre users (id), permitiendo asignar cualquier ID de usuario existente sin importar el aislamiento por arrendatario.

Causa raíz

Logto aplica Row Level Security (RLS) en todas las tablas para aislar el acceso a datos por arrendatario. Al unir la tabla de usuarios con organization_user_relations, los datos del usuario realmente se vuelven inaccesibles para el arrendatario actual debido a las restricciones de RLS, lo que provoca que los datos de usuario retornen null y dispare errores 500 del servidor.

Solución

Se añadió una restricción de clave foránea compuesta (tenant_id, user_id) haciendo referencia a users (tenant_id, id) para asegurar que el tenant ID de la relación organización-usuario coincida con el tenant ID del usuario. Esto refuerza el aislamiento correcto de arrendatarios a nivel de base de datos.