Logto 제품 업데이트

Logto v1.36이 출시되었습니다. 이번 릴리스에서는 와일드카드 리디렉트 URI 지원, 앱 레벨 토큰 교환 제어, 그리고 OIDC 커넥터에서 미확인 이메일을 신뢰할 수 있는 기능이 추가되었습니다.

와일드카드 리디렉트 URI#

커뮤니티 기여자 @Arochka 덕분에 이제 리디렉트 URI에 와일드카드 패턴(*)을 사용할 수 있습니다. 이는 미리보기 배포와 같이 URL이 동적으로 생성되는 환경에서 특히 유용합니다.

웹 애플리케이션 규칙:

• 와일드카드는 http/https URI의 호스트명과 경로명에서 동작합니다.
• 스킴, 포트, 쿼리 또는 해시에는 와일드카드를 사용할 수 없습니다.
• 호스트명 패턴에는 과도하게 넓은 일치를 방지하기 위해 최소 한 개의 점(.)이 포함되어야 합니다.

앱 레벨 제어가 가능한 토큰 교환#

토큰 교환 기능이 이제 머신 간 애플리케이션에 사용 가능하며, 어떤 앱들이 이를 사용할 수 있는지에 대해 세밀한 제어가 가능합니다.

• 애플리케이션 설정에서 새로운 allowTokenExchange 옵션 추가
• 신규 앱은 기본적으로 토큰 교환이 비활성화되어 있습니다.
• 기존 1st party 앱(Traditional, Native, SPA)은 호환성을 위해 활성화 상태를 유지합니다.
• 3rd party 앱은 토큰 교환을 사용할 수 없습니다.
• 퍼블릭 클라이언트에서 활성화 시 콘솔에서 위험 경고가 표시됩니다.

OIDC 커넥터용 미확인 이메일 신뢰#

일부 신원 제공자는 email_verified 값을 반환하지 않거나, 이메일이 유효해도 false로 반환합니다. 이제 OIDC 소셜 커넥터 및 엔터프라이즈 SSO 커넥터에서 이메일 확인 여부와 관계없이 동기화할 수 있습니다.

커넥터 설정에서 trustUnverifiedEmail을 활성화하세요(기본값은 false). 이 옵션은 OIDC 및 Azure AD SSO 커넥터용 Admin Console에서 사용 가능합니다.

소셜 로그인 시 ID 수집 건너뛰기#

Apple App Store 지침에 따르면 “Apple로 로그인” 시 Apple이 제공하는 것 외의 추가 정보를 요청하지 않아야 합니다. 이를 위해, 소셜 로그인 진행 중 필수 ID(식별자) 수집을 건너뛰는 새로운 옵션을 추가했습니다.

로그인 환경 설정의 소셜 로그인 섹션에서 “필수 회원가입 식별자 제공 요구” 체크박스를 찾으세요.

API 개선사항#

사용자 역할 API가 결과를 반환하도록 개선

• POST /users/:userId/roles는 { roleIds, addedRoleIds }를 반환하여 새로 할당된 역할을 보여줍니다.
• PUT /users/:userId/roles는 { roleIds }를 반환하여 최종 상태를 확인할 수 있습니다.

@logto/api에 새로운 createApiClient 함수 추가

커스텀 인증 플로우를 위해 자체 토큰 획득 로직으로 타입-안전 API 클라이언트를 생성하세요.

버그 수정#

• Postgres 타임아웃: PgBouncer/RDS Proxy 호환성을 위해 DATABASE_STATEMENT_TIMEOUT=DISABLE_TIMEOUT 설정 지원
• Enterprise SSO 오류: SSO 계정이 존재하지 않을 때의 오류 코드를 수정
• JIT 이메일 도메인: 모든 도메인이 콘솔에 표시되도록 페이지네이션 제한 제거
• 직접 로그인: 자동 로그인 반복 요청 문제 수정
• 감사 로그 필터: 오타로 인해 필터 결과가 비어 나오던 문제 수정