Logto 製品アップデート

ハイライト#

• アプリ間認証の安定性: 同一ブラウザセッション内で認証コールバックがアプリごとに分離され、共有 _interaction クッキーによる干渉が解消されました。
• 新しいウェブフックイベント Identifier.Lockout: 複数回のサインイン失敗によりユーザーがロックアウトされたときに発火する新しい Identifier.Lockout ウェブフックイベントが導入されました。
• リフレッシュトークンの信頼性向上: リフレッシュトークンが設定された 180 日間の TTL を正しく適用するようになり、以前発生していた 14 日後に期限切れとなる問題が解決されました。

新機能と改善#

アプリ間認証#

複数のアプリケーションが同じブラウザセッション内で認証を開始できるようになり、互いに影響を受けなくなりました。

• _interaction クッキーが { [appId]: [interactionId] } という構造化マッピングで保存されるようになりました。
• appId は URL パラメータまたはヘッダを介して伝搬され、分離性が保たれます。
• 後方互換性のためのフォールバックロジックも含まれています。

ウェブフック#

新しいウェブフックイベント： Identifier.Lockout

• ユーザーが複数回のサインイン失敗の結果ロックアウトされた場合に発火し、セキュリティ監視や自動化を強化します。

バグ修正と安定性#

リフレッシュトークンの TTL 修正#

内部プロバイダーの付与 TTL 上限によりリフレッシュトークンが 14 日で期限切れとなっていた問題を修正しました。

• TTL は設定された 180 日間の有効期間と正しく一致するようになりました。
• リフレッシュトークンの有効期間は意図通り最大 180 日間サポートされます。

マルチステップサインアップ時のメール認証コードテンプレート選択修正#

マルチステップサインアップフロー中に MFA バインディングのテンプレートに誤切り替えされるバグを修正しました。

• サインアッププロセスでメールまたは電話識別子が含まれる場合、サインアップ用テンプレートが正しく選択されるようになりました。

大文字小文字を区別しない SSO コネクターのドメインマッチング#

SSO コネクターのドメインマッチングが大文字小文字を区別しなくなり、サインインフローでの信頼性が向上しました。

• SSO コネクタードメインは挿入時に小文字へ正規化されます。
• 重複するドメインエントリを防止し、適切なコネクター検索を実現します。
• サインイン時のドメインマッチングが確実に大文字小文字非依存になりました。