Logto v1.39.0 on täällä, tuoden turvallisemman allekirjoitusavainten kierron, älykkäämmän JWT-skriptivirheiden käsittelyn, laajennetut Tilikeskuksen turvallisuuskontrollit, WhatsApp-liittimen tuen ja avainturvallisuuden parannuksia.
Olemme innoissamme esitellä Logto v1.39.0:n, joka keskittyy vahvempaan operatiiviseen turvallisuuteen, joustavampaan tunnisteiden räätälöintiin ja parempaan loppukäyttäjän tiliturvallisuuteen. Tässä versiossa lisätään siirtymäaika yksityisen allekirjoitusavaimen kiertoon, konfiguroitava virheenkäsittely räätälöidyille JWT-skripteille, uusi Tilikeskuksen turvallisuussivu, WhatsApp-liittimen tuki Meta Cloud API:n kautta sekä useita turvallisuus- ja luotettavuusparannuksia todennusvirroissa.
Logto tukee nyt siirtymäaikaa yksityisen allekirjoitusavaimen kierron aikana.
Tämä voidaan konfiguroida seuraavasti:
PRIVATE_KEY_ROTATION_GRACE_PERIOD -ympäristömuuttuja.--gracePeriod CLI-vaihtoehto.Siirtymäaikana:
Siirtymäajan jälkeen:
Tämä mahdollistaa sujuvamman avainkierron ja auttaa välttämään todennusvirheet vanhentuneiden JWKS-välimuistien vuoksi.
Dokumentaatio: Allekirjoitusavainten kierto
Logto tukee nyt konfiguroitavaa virheenkäsittelyä päästävän ja asiakastodistuksen mukautetun JWT-skriptin virhetapauksissa.
Mukaan lukien muutokset:
api.denyAccess() säilytetään access_denied-vastauksena.invalid_request-vastauksen.blockIssuanceOnError-asetuksen.Tämä auttaa kehittäjiä valitsemaan pitäisikö tunnisteiden räätälöinnin epäonnistua avoimeen vai suljettuun asentoon tietoturvavaatimusten mukaan.
Tämä julkaisu lisää uuden turvallisuussivun out-of-the-box Tilikeskukseen.
Loppukäyttäjät voivat nyt hallita tiliturvallisuutta osoitteessa /account/security, mukaan lukien:
Konsolituki:
Uusi WhatsApp-liitin lisätty viestien välittämiseksi Meta Cloud API:n kautta.
Tämä mahdollistaa WhatsApp-pohjaiset SMS-/vahvistuskoodien toimitusskenaariot virallisen Meta Cloud API -integraation avulla.
Organisaation käyttäjä- ja roolimäärittelyjen API:t palauttavat nyt vastausrungon.
Päivitetyt päätepisteet:
POST /organizations/:id/users palauttaa { userIds: string[] }, toistaen pyynnössä lähetetyt käyttäjätunnukset.POST /organizations/:id/users/:userId/roles palauttaa { organizationRoleIds: string[] }, sisältäen lopulliset, deduplikoidut käyttäjän roolitunnukset sekä tunnistetut nimet.Konsoliteemaan lisätty puuttuva --color-overlay-primary-subtle -tunniste sekä vaaleassa että tummassa tilassa.
Unohtuneen salasanan tarkistus palauttaa nyt yhtenäisen verification_code.code_mismatch -virheen.
Tämä estää virran paljastamasta, onko sähköpostiosoite tai puhelinnumero olemassa eri virhevastauksista.
Sosiaalisen ja SSO-uudelleenohjausten luotettavuutta parannettu sovelluksen sisäisissä selaimissa, kuten Instagram, Facebook ja LINE.
Jotkut sovelluksen sisäiset selaimet avaavat OAuth-identiteettipalveluiden sivut uuteen WebView:hen, jolloin sessionStorage voi kadota uudelleenohjauksen jälkeen.
Tämä julkaisu lisää localStorage-vararatkaisun:
sessionStorage:aan.localStorage:aan.localStorage-varastosta, jos sessionStorage puuttuu.Korjattu ongelma, jossa pyyntöosoitetta ei välitetty liittimille vahvistuskoodeja lähetettäessä.
Tämä mahdollistaa liittimien vastaanottaa oikean pyynnön kontekstin vahvistuskoodin toimittamista varten.