Logto v1.38.0 is er. Deze release brengt ondersteuning voor OAuth 2.0 Device Authorization Grant, passkey-aanmelding, adaptieve MFA, sessie- en grantbeheer, en flexibelere OIDC-configuratie voor OSS-implementaties.
We zijn enthousiast om Logto v1.38.0 aan te kondigen, onze release van maart 2026! Deze update voegt device flow toe voor apparaten met beperkte invoer, introduceert passkey-aanmelding en verbeteringen aan adaptieve MFA, en breidt sessie-, grant- en tenant-niveau configuratiecontroles uit in Logto.
Een van de grootste toevoegingen in deze release is ondersteuning voor OAuth 2.0 Device Authorization Grant. Dit maakt het veel makkelijker om authenticatieflows te bouwen voor apparaten zonder volledig toetsenbord of browserervaring, zoals smart-tv’s, CLI-tools, gameconsoles en IoT-apparaten.
Met deviceflow kunnen gebruikers:
We hebben ook volledige Console-ondersteuning toegevoegd voor deviceflow-applicaties. Je kan nu deviceflow-apps aanmaken door Input-limited app / CLI te selecteren onder Native apps, of Device flow te kiezen als de autorisatiefase bij het handmatig aanmaken van een app. De instellingenpagina van de app bevat ook een ingebouwde gids en demo om je te helpen starten.
Deze release introduceert passkey-aanmelding als een volwaardig authenticatiemiddel in Logto.
Passkey-aanmelding biedt een snellere, wachtwoordloze ervaring voor terugkerende gebruikers, terwijl het ook de accountbeveiliging verbetert. Het werkt met bekende platform-authenticators zoals Face ID, Touch ID en Windows Hello.
We hebben ondersteuning toegevoegd voor verschillende passkey-gebaseerde gebruikersroutes:
Voor meer details, bekijk onze documentatie over passkey-aanmelding.
Deze release zet onze investering in moderne MFA-ervaringen voort met twee grote verbeteringen.
Adaptieve MFA wordt nu ondersteund in Logto. Wanneer ingeschakeld, evalueert de aanmeldflow adaptieve MFA-regels ten opzichte van de huidige aanmeldcontext en vereist MFA wanneer deze regels getriggerd worden.
Dit omvat ook:
context.interaction.signInContext in custom-claims scriptsPostSignInAdaptiveMfaTriggered webhook-gebeurtenisVoor gebruikers die niet verplicht zijn om MFA in te stellen, kan Logto nu een speciale onboardingpagina tonen na credentialverificatie die vraagt of ze MFA willen inschakelen voor betere bescherming.
Dit is vooral handig samen met passkey-aanmelding, waarbij een gebruiker passkeys kan gebruiken voor aanmelding zonder die tegelijk als MFA-factor in te schakelen.
Deze release voegt een grote set account- en beheermogelijkheden toe rond gebruikerssessies en geautoriseerde applicaties.
Logto ondersteunt nu sessiebeheer zowel in account-API’s als beheer-API’s. Je kan actieve sessies opvragen, details bekijken en sessies intrekken met optioneel intrekking van grants.
We hebben ook het volgende geïntroduceerd:
session-machtiging in Account Center-instellingen met off, readOnly en edit-optiesurn:logto:scope:sessions user scope voor toegang tot de account-API met betrekking tot sessiesAan Console-zijde tonen gebruiker-details nu een sectie Actieve sessies en een speciale pagina voor sessiedetails met intrekfunctionaliteit.
Logto ondersteunt nu het opvragen en intrekken van applicatie-grants van gebruikers in zowel de Account API als de beheer-API’s.
Deze release bevat ook een sectie Geautoriseerde apps van derden op de gebruiker-detailpagina in Console. Beheerders kunnen nu actieve autorisaties van derden zien, metadata zoals app-naam en aanmaaktijd bekijken, en directe toegang intrekken.
Applicaties kunnen nu een waarde maxAllowedGrants definiëren in customClientMetadata om te beperken hoeveel actieve grants een gebruiker voor een specifieke app mag hebben. Zodra de ingestelde limiet wordt overschreden, trekt Logto automatisch de oudste grants in.
In Console vind je nu ook een nieuwe sectie Limiet gelijktijdige apparaten in applicatiedetails, zodat dit visueel kan worden ingesteld.
Voor OSS-gebruikers zijn OIDC-instellingen in deze release flexibeler en eenvoudiger te beheren.
Je kan nu oidc.session.ttl instellen in logto-config om de OIDC-provider sessie-TTL in seconden aan te passen. Indien niet ingesteld, blijft de standaardwaarde 14 dagen.
We hebben ook toegevoegd:
GET /api/configs/oidc/sessionPATCH /api/configs/oidc/sessionAan Console-zijde heeft OSS nu een nieuwe pagina Tenant -> Instellingen, met een tabblad OIDC-instellingen ter vervanging van de oude Signing keys-pagina. De nieuwe pagina bevat ook een veld Sessie maximale levensduur om de TTL in dagen te configureren.
Als je OSS draait, vergeet niet de dienst opnieuw te starten na configuratiewijzigingen zodat de nieuwe OIDC-instellingen geladen worden. Wil je dat config-updates automatisch effect hebben, overweeg dan de centrale Redis-cache in te schakelen.
Het kant-en-klare Account Center krijgt ook enkele handige upgrades in deze release.
Gebruikers kunnen nu:
/authenticator-app/replaceidentifier-URL-parameter gebruiken om identifiervelden vooraf in te vullenui_localesWe hebben ook wachtwoordformulieren verbeterd voor betere compatibiliteit met browser-autofill en wachtwoordmanagers.
Voor teams die gebruikers willen migreren naar Logto ondersteunen de endpoints GET /users en GET /users/:userId nu een queryparameter includePasswordHash. Bij inschakelen bevat de response passwordDigest en passwordAlgorithm, wat kan helpen bij migratieworkflows die ruwe passwordhashes vereisen.
Ook ondersteunen we nu access token exchange voor service-to-service delegatie. Logto kan nu opaque of JWT access tokens omwisselen voor nieuwe tokens met andere audiences via het standaard urn:ietf:params:oauth:token-type:access_token token type.
Ook bevat deze release verschillende stabiliteits- en compatibiliteitsverbeteringen:
findByUid en findByUserCode gebruiken nu letterlijke JSONB-sleutels zodat expression indexen beter werken onder prepared generic plans.hex:-geprefixed PBKDF2-zoutwaarden bij gebruikersimport.To-formatering is nu genormaliseerd voor niet-E.164-nummers door ervoor te zorgen dat er een + vooraan staat.Deze release bevat een breaking change in de connector toolkit.
De lang-verouderde mockSmsVerificationCodeFileName export is verwijderd uit @logto/connector-kit.
We hebben ook de bestandspaden bijgewerkt die mock-connectors gebruiken om verzonden berichtrecords op te slaan:
/tmp/logto_mock_email_record.txt -> /tmp/logto/mock_email_record.txt/tmp/logto_mock_sms_record.txt -> /tmp/logto/mock_sms_record.txtAls je lokale of Docker-gebaseerde workflows afhankelijk zijn van de oude paden, moet je deze bijwerken.
Dank aan onze nieuwe bijdragers voor het helpen verbeteren van Logto:
Klaar om te upgraden? Bekijk onze upgradegids voor stapsgewijze instructies.
Voor de volledige lijst met wijzigingen, zie de GitHub-releasepagina.
Vragen of feedback? Kom bij ons op Discord of open een issue op GitHub.