Actualizaciones de producto de Logto

Logto v1.36 ya está aquí. Esta versión trae soporte para URIs de redirección con comodín, control de intercambio de tokens a nivel de aplicación y la capacidad de confiar en correos electrónicos no verificados en conectores OIDC.

URIs de redirección con comodín#

Gracias al contribuidor de la comunidad @Arochka, ahora puedes usar patrones de comodines (*) en las URIs de redirección. Esto es especialmente útil para entornos dinámicos como los despliegues de vista previa donde las URLs se generan sobre la marcha.

Reglas para aplicaciones web:

• Los comodines funcionan en el nombre del host y la ruta de URIs http/https
• No se permiten comodines en el esquema, puerto, consulta o hash
• Los patrones del nombre del host deben incluir al menos un punto para evitar coincidencias demasiado amplias

Intercambio de tokens con control a nivel de aplicación#

El intercambio de tokens ya está disponible para aplicaciones máquina-a-máquina, y tienes control detallado sobre qué apps pueden usarlo.

• Nueva opción allowTokenExchange en la configuración de la aplicación
• Las nuevas apps tienen el intercambio de tokens deshabilitado por defecto
• Las apps existentes de primera parte (Tradicional, Nativa, SPA) lo mantienen habilitado por compatibilidad con versiones anteriores
• Las apps de terceros no pueden usar el intercambio de tokens
• La consola muestra una advertencia de riesgo al habilitarlo para clientes públicos

Confiar en correos electrónicos no verificados para conectores OIDC#

Algunos proveedores de identidad no devuelven email_verified o lo devuelven como false incluso cuando el correo electrónico es válido. Ahora puedes configurar conectores sociales OIDC y conectores SSO empresariales para sincronizar correos electrónicos sin importar el estado de verificación.

Activa trustUnverifiedEmail en la configuración de tu conector (por defecto es false). Esta opción está disponible en la Consola de Administración para conectores OIDC y Azure AD SSO.

Omitir recolección de identificadores para inicio de sesión social#

Las directrices de la App Store de Apple requieren que "Iniciar sesión con Apple" no solicite información adicional más allá de la que Apple proporciona. Para ayudar con esto, hemos añadido una nueva opción para omitir la recolección obligatoria de identificadores durante el inicio de sesión social.

Encuentra la casilla de verificación "Requerir que los usuarios proporcionen el identificador faltante de registro" en la sección de inicio de sesión social de la configuración de experiencia de inicio de sesión.

Mejoras de API#

Las APIs de roles de usuario ahora devuelven resultados

• POST /users/:userId/roles devuelve { roleIds, addedRoleIds } mostrando qué roles se asignaron recientemente
• PUT /users/:userId/roles devuelve { roleIds } confirmando el estado final

Nueva función createApiClient en @logto/api

Crea un cliente API con tipado seguro usando tu propia lógica de recuperación de tokens para flujos de autenticación personalizados.

Corrección de errores#

• Timeout de Postgres: Establecer DATABASE_STATEMENT_TIMEOUT=DISABLE_TIMEOUT para compatibilidad con PgBouncer/RDS Proxy
• Error de SSO empresarial: Se corrigió el código de error cuando la cuenta SSO no existe
• Dominios de correo electrónico JIT: Límite de paginación eliminado para que todos los dominios se muestren en la Consola
• Inicio de sesión directo: Corregidas las solicitudes automáticas repetidas de inicio de sesión
• Filtros de registro de auditoría: Corregidos errores tipográficos que causaban filtros vacíos