Polski
  • wydanie

Aktualizacje produktu Logto

Logto v1.36 wprowadza obsługę wieloznacznych przekierowań URI dla środowisk testowych, kontrolę wymiany tokenów na poziomie aplikacji, opcję zaufania niezweryfikowanemu e-mailowi dla konektorów OIDC oraz możliwość pominięcia zbierania identyfikatora przy logowaniu społecznościowym.

Sijie
Sijie
Developer

Przestań tracić tygodnie na uwierzytelnianie użytkowników
Uruchamiaj bezpieczne aplikacje szybciej z Logto. Zintegruj uwierzytelnianie użytkowników w kilka minut i skup się na swoim głównym produkcie.
Rozpocznij
Product screenshot

Logto v1.36 jest już dostępny. Ta wersja wnosi obsługę wieloznacznych przekierowań URI, zarządzanie wymianą tokenów na poziomie aplikacji oraz możliwość zaufania niezweryfikowanym emailom w konektorach OIDC.

Wieloznaczne przekierowania URI

Dzięki współpracy z członkiem społeczności @Arochka, możesz teraz używać wzorców wieloznacznych (*) w URI przekierowań. Jest to szczególnie przydatne w dynamicznych środowiskach takich jak testowe wdrożenia, gdzie adresy URL są generowane dynamicznie.

Zasady dla aplikacji webowych:

  • Znaki wieloznaczne działają w nazwie hosta i ścieżce URI http/https
  • Wildcardy nie są dozwolone w schemacie, porcie, zapytaniu lub hashu
  • Wzorce hostów muszą zawierać co najmniej jedną kropkę, aby zapobiec zbyt szerokiemu dopasowaniu

Wymiana tokenów z kontrolą na poziomie aplikacji

Wymiana tokenów jest teraz dostępna dla aplikacji typu machine-to-machine i możesz szczegółowo określić, które aplikacje mogą z niej korzystać.

  • Nowe ustawienie allowTokenExchange w konfiguracji aplikacji
  • Nowe aplikacje mają domyślnie wyłączoną wymianę tokenów
  • Istniejące aplikacje first-party (Tradycyjne, Native, SPA) zachowują domyślne włączenie tej funkcji dla kompatybilności wstecznej
  • Aplikacje third-party nie mogą korzystać z wymiany tokenów
  • Konsola pokazuje ostrzeżenie o ryzyku podczas włączania dla publicznych klientów

Zaufanie niezweryfikowanemu emailowi dla konektorów OIDC

Niektórzy dostawcy tożsamości nie zwracają email_verified lub zwracają false nawet jeśli email jest prawidłowy. Możesz teraz skonfigurować konektory społeczne OIDC oraz SSO dla firm tak, aby synchronizowały email bez względu na status weryfikacji.

Włącz opcję trustUnverifiedEmail w konfiguracji konektora (domyślnie false). Opcja ta jest dostępna w konsoli administratora dla konektorów OIDC oraz Azure AD SSO.

Pomijanie zbierania identyfikatora podczas logowania społecznościowego

Wytyczne Apple App Store wymagają, by "Sign in with Apple" nie żądał żadnych dodatkowych informacji ponad to, co dostarcza Apple. Aby to usprawnić, wprowadziliśmy nową opcję pozwalającą pominąć obowiązkowe zbieranie identyfikatora podczas logowania społecznościowego.

Znajdź pole wyboru "Wymagaj od użytkowników podania brakującego identyfikatora rejestracyjnego" w sekcji logowania społecznościowego w ustawieniach doświadczenia logowania.

Ulepszenia API

API ról użytkownika teraz zwracają wyniki

  • POST /users/:userId/roles zwraca { roleIds, addedRoleIds }, pokazując, które role zostały nowo przypisane
  • PUT /users/:userId/roles zwraca { roleIds }, potwierdzając stan końcowy

Nowa funkcja createApiClient w @logto/api

Stwórz bezpiecznego typowo klienta API z własną logiką pobierania tokenów do niestandardowych ścieżek uwierzytelniania.

Naprawione błędy

  • Timeout Postgresa: Ustaw DATABASE_STATEMENT_TIMEOUT=DISABLE_TIMEOUT dla zgodności z PgBouncer/RDS Proxy
  • Błąd SSO w firmie: Naprawiono kod błędu, gdy konto SSO nie istnieje
  • Domeny email JIT: Usunięto limit stronicowania, dzięki czemu wszystkie domeny pojawiają się w Konsoli
  • Bezpośrednie logowanie: Naprawiono wielokrotnie powtarzające się żądania automatycznego logowania
  • Filtry logów audytu: Naprawiono literówki powodujące puste wyniki filtrów