Logto v1.46.0 is er. Het brengt OIDC step-up authenticatie, Sign-In met Ethereum, een manier om het iOS wachtwoord opslaan-venster te behouden, selfservice persoonlijke toegangstokens en een ronde aan beveiligingsverbeteringen.
Logto v1.46.0 introduceert OIDC step-up authenticatie voor gevoelige acties, Sign-In met Ethereum, een manier om het iOS "Wachtwoord opslaan"-venster te behouden, en selfservice persoonlijke toegangstokens in het Account Center, samen met GeeTest CAPTCHA, SAML statische attributen en een ronde beveiligingsversterking. Dit is nieuw.
Apps kunnen nu een recente of sterkere aanmelding vereisen voor gevoelige acties, met behulp van standaard OIDC parameters.
acr_values en max_age mee in het autorisatieverzoek, en lees vervolgens acr, amr en auth_time uit ID-tokens, toegangstokens en introspectieresponsen. Ondersteunde ACR-waarden worden vermeld in het discovery document.max_age.Zie de Step-up authenticatie handleiding voor installatie en details.
De nieuwe Ethereum Wallet sociale connector (@logto/connector-siwe) laat gebruikers inloggen met een EVM-wallet. Gebruikers met een browserwallet (een geïnjecteerde EIP-1193-provider) ondertekenen een eenmalig Sign-In with Ethereum (EIP-4361) bericht zonder de inlogpagina te verlaten. Eén adres werkt op alle ondersteunde EVM-ketens en beheerders kunnen de toegestane chain IDs beperken.
Op iOS sluit ASWebAuthenticationSession direct zodra het de callback-URL van de app ziet, waardoor het systeemvenster "Wachtwoord opslaan" direct na een wachtwoordinlog wordt weggedrukt.
Voeg de nieuwe confirm_redirect_policy=password inlogparameter toe om na het invoeren van het wachtwoord een "Doorgaan"-pagina te tonen. De pagina keert pas terug naar de app als de gebruiker "Doorgaan" selecteert, zodat het opslaan-venster zichtbaar blijft. Zonder deze parameter stuurt Logto meteen terug zoals voorheen.
De Swift integratiehandleiding in Console laat zien hoe je dit gebruikt. Zie Behoud het iOS wachtwoord opslaan-venster.
Wanneer persoonlijke toegangstokens zijn ingeschakeld in Account Center, kunnen gebruikers hun eigen tokens aanmaken, hernoemen en intrekken op de Beveiliging-pagina van Account Center. Elke token wordt slechts één keer getoond bij aanmaak en verloopt binnen 365 dagen.
Dezelfde functies zijn beschikbaar via de Account API op /api/my-account/personal-access-tokens, met de nieuwe urn:logto:scope:personal_access_tokens scope.
mfa.required in via de Management API. Gebruikers moeten dan MFA instellen bij het volgende inloggen, ongeacht het organisatiebeleid.$5$ en $6$) wachtwoord-hashes door het Legacy wachtwoordalgoritme te gebruiken.access_denied als inloggen wordt geannuleerd: Het annuleren van de toestemmingspagina of een mislukte directe inlog stuurt de gebruiker nu terug naar de clientapp met access_denied. Aangepaste inlogsessies kunnen hetzelfde doen met POST /api/experience/abort.login_hint voor Account Center: Voeg login_hint toe aan elke Account Center-URL om het identificatieveld vooraf te vullen wanneer de gebruiker moet inloggen.staticAttributes in de Management API.same-origin-allow-popups of same-origin onder Console > Aanmeld-ervaring > Branding > Bring your UI. Standaard wordt geen header verzonden, zodat apps die een inlog openen in een popup gewoon blijven werken.GET /api/users accepteert een herhaalbare customData queryparameter, bijvoorbeeld customData={"customId":114514}.GET /api/organizations accepteert een jitEmailDomain queryparameter waarmee je de organisaties ophaalt waarin een gebruiker met dat e-maildomein terechtkomt.hasPassword voor organisatieleden: GET /api/organizations/:id/users toont nu of elk lid een wachtwoord heeft ingesteld.deliveryId: Elke webhookpayload bevat nu een deliveryId die bij retries hetzelfde blijft, zodat je elke bezorging precies één keer kunt verwerken. Dit is ook het ID van de auditlogboekvermelding van de levering.Deze release bevat beveiligingsfixes bij MFA, sociale en zakelijke aanmelding, de Account API en Logto Tunnel.
Range requests bij het serveren van statische bestanden.Zie de v1.46.0 release notes voor alle details.
502 connector.social_provider_unreachable, een geweigerde autorisatie geeft 401 connector.authorization_failed, en connectorfouten tonen nu het werkelijke providerbericht in plaats van {}.scope mislukken niet langer met invalid_scope, zodat gebruikers ingelogd blijven.customClientMetadata keys, zodat typefouten zoals refreshTokenTtlInDay niet langer stilletjes worden geaccepteerd.o365role bevatten nu de gebruikerswaarde in plaats van een letterlijke placeholder.expires_in als string en scope als array in tokenantwoorden, en de Patreon-connector is overgezet naar Patreon API v2 zodat inloggen weer werkt.Cannot find 'client' in scope-fout opgelost is. (Dank aan @timokoethe).logto db alteration deploy) uit na het upgraden en voor het starten van de nieuwe versie./console verzoek niet overeenkomt met een geconfigureerd admin endpoint — handig voor fout ingestelde ADMIN_ENDPOINT.Bedankt aan de communityleden wier werk in deze release zit:
deliveryId (#9882), hasPassword voor organisatieleden (#9883), organisatiefilter op just-in-time provisioningdomein (#9912), validatie van customClientMetadata sleutel (#9931), duidelijkere sociale loginfouten (#9879, #9880), database-verbindingretries (#9881, #9928), en connector request errorhandling (#9849)ADMIN_ENDPOINT mismatch waarschuwing (#9408)Klaar om te upgraden? Bekijk onze upgrade handleiding voor stapsgewijze instructies.
Voor de complete lijst van veranderingen, zie de GitHub-releasenotities.
Vragen of feedback? Doe mee op Discord of open een issue op GitHub.