Polski
  • wydanie

Aktualizacje produktu Logto

Logto v1.38.0 jest już dostępny. Ta wersja wprowadza obsługę OAuth 2.0 Device Authorization Grant, logowanie za pomocą kluczy dostępu, adaptacyjne MFA, zarządzanie sesjami i uprawnieniami oraz bardziej elastyczną konfigurację OIDC dla wdrożeń OSS.

Charles
Charles
Developer

Przestań tracić tygodnie na uwierzytelnianie użytkowników
Uruchamiaj bezpieczne aplikacje szybciej z Logto. Zintegruj uwierzytelnianie użytkowników w kilka minut i skup się na swoim głównym produkcie.
Rozpocznij
Product screenshot

Z radością ogłaszamy Logto v1.38.0, naszą marcową wersję 2026! Ta aktualizacja dodaje przepływ urządzenia dla aplikacji z ograniczonymi możliwościami wprowadzania danych, wprowadza logowanie kluczem dostępu oraz ulepszenia adaptacyjnego MFA, a także rozszerza zarządzanie sesjami, uprawnieniami i konfiguracją na poziomie tenantów w całym Logto.

Device flow dla aplikacji z ograniczonym wprowadzaniem danych

Jednym z największych dodatków w tej wersji jest wsparcie dla OAuth 2.0 Device Authorization Grant. Dzięki temu znacznie łatwiej jest tworzyć procesy uwierzytelniania dla urządzeń, które nie mają pełnej klawiatury ani przeglądarki, takich jak smart TV, narzędzia CLI, konsole do gier i urządzenia IoT.

Dzięki device flow użytkownicy mogą:

  • Rozpocząć logowanie na urządzeniu
  • Otworzyć adres weryfikacyjny na innym urządzeniu
  • Wprowadzić krótki kod użytkownika
  • Dokończyć uwierzytelnianie tam
  • Wrócić na oryginalne urządzenie z wydanymi tokenami

Dodaliśmy również pełne wsparcie w Konsoli dla aplikacji typu device flow. Możesz teraz tworzyć takie aplikacje wybierając Aplikacja ograniczona pod względem wprowadzania / CLI wśród natywnych aplikacji lub wybierając Device flow jako przepływ autoryzacyjny przy ręcznym tworzeniu aplikacji. Strona ustawień aplikacji zawiera również wbudowany przewodnik i demo, które pomogą ci zacząć.

Logowanie kluczem dostępu jako pełnoprawny przepływ

Ta wersja wprowadza logowanie kluczem dostępu jako pełną metodę uwierzytelniania w Logto.

Logowanie kluczem dostępu zapewnia szybsze, bezhasłowe logowanie dla powracających użytkowników, jednocześnie zwiększając bezpieczeństwo konta. Działa z dobrze znanymi platformowymi uwierzytelniaczami, takimi jak Face ID, Touch ID i Windows Hello.

Dodaliśmy wsparcie dla kilku scenariuszy użytkownika opartych o klucze dostępu:

  • Dedykowany przycisk Kontynuuj z kluczem dostępu dla natychmiastowego logowania
  • Przepływ z najpierw identyfikatorem, który najpierw weryfikuje klucz dostępu, a dopiero potem przechodzi do hasła lub kodu weryfikacyjnego
  • Wsparcie dla autofill przeglądarki, aby użytkownik mógł wybrać zapisany klucz dostępu bezpośrednio z pola identyfikatora
  • Powiązanie klucza dostępu podczas rejestracji nowych użytkowników
  • Wykorzystanie już istniejącego WebAuthn MFA jako logowania kluczem dostępu bez ponownej rejestracji

Więcej szczegółów znajdziesz w naszej dokumentacji dotyczącej logowania kluczem dostępu.

Adaptacyjne MFA i lepsze wskazówki dotyczące MFA

Ta wersja kontynuuje naszą inwestycję w nowoczesne doświadczenia MFA poprzez dwa istotne ulepszenia.

Adaptacyjne MFA

Adaptacyjne MFA jest teraz obsługiwane w Logto. Po włączeniu, przepływ logowania ocenia reguły adaptacyjnego MFA względem bieżącego kontekstu logowania i wymaga MFA, gdy reguły zostaną spełnione.

Obejmuje to także:

  • Konfigurację adaptacyjnego MFA w Konsoli
  • Zachowywanie kontekstu logowania w danych interakcji
  • Dostęp do context.interaction.signInContext w skryptach custom-claims
  • Nowe zdarzenie webhook PostSignInAdaptiveMfaTriggered

Opcjonalne onboarding MFA

Dla użytkowników, którzy nie muszą konfigurować MFA, Logto może teraz wyświetlić dedykowaną stronę onboardingową po weryfikacji danych uwierzytelniających, pytając o chęć włączenia MFA dla lepszej ochrony.

To szczególnie przydatne w połączeniu z logowaniem kluczem dostępu, gdzie użytkownik może chcieć korzystać z kluczy dostępu do logowania, ale niekoniecznie włączać je jako czynnik MFA w tym samym czasie.

Zarządzanie sesją i uprawnieniami przez API i Konsolę

Ta wersja dodaje istotny zestaw opcji kontroli kont użytkownika i admina dotyczących sesji oraz autoryzowanych aplikacji.

Zarządzanie sesją użytkownika

Logto obsługuje teraz zarządzanie sesjami zarówno w API konta, jak i API zarządzania. Możesz wylistować aktywne sesje, sprawdzić szczegóły sesji i unieważnić sesje z opcjonalnym usunięciem grantów.

Wprowadziliśmy również:

  • Nową uprawnienie session w ustawieniach Account Center z opcjami off, readOnly i edit
  • Nowy zakres użytkownika urn:logto:scope:sessions dla API konta dotyczącego sesji
  • Bogatszy kontekst sesji, w tym IP, user agent i lokalizacja GEO (jeśli dostępne)

W Konsoli szczegóły użytkownika obejmują teraz sekcję Aktywne sesje i dedykowaną stronę szczegółów sesji z obsługą unieważniania.

Zarządzanie uprawnieniami aplikacji autoryzowanych

Logto obsługuje teraz wylistowanie i unieważnienie uprawnień aplikacyjnych użytkownika zarówno w API konta, jak i API zarządzania.

Ta wersja wprowadza również sekcję Uprawnione aplikacje zewnętrzne na stronie szczegółów użytkownika w Konsoli. Administratorzy mogą teraz zobaczyć aktywne autoryzacje zewnętrzne, przeglądać metadane takie jak nazwa aplikacji i czas utworzenia oraz bezpośrednio odebrać dostęp poprzez UI.

Ograniczenia liczby równoczesnych urządzeń na poziomie aplikacji

Aplikacje mogą teraz zdefiniować wartość maxAllowedGrants w customClientMetadata, aby ograniczyć liczbę aktywnych uprawnień, które użytkownik może zachować dla danej aplikacji. Po przekroczeniu ustawionego limitu, Logto automatycznie usuwa najstarsze uprawnienia.

Konsola zawiera także nową sekcję Limit równoczesnych urządzeń w szczegółowych danych aplikacji, dzięki czemu możesz to skonfigurować wizualnie.

Więcej opcji kontroli OSS dla ustawień OIDC

Dla użytkowników OSS ta wersja umożliwia łatwiejszą i bardziej elastyczną konfigurację ustawień OIDC.

Możesz teraz zdefiniować oidc.session.ttl w logto-config, aby dostosować czas życia sesji dostawcy OIDC (w sekundach). Jeżeli nie ustawisz, domyślnie pozostaje 14 dni.

Dalej dodaliśmy:

  • GET /api/configs/oidc/session
  • PATCH /api/configs/oidc/session

W Konsoli OSS pojawia się nowa strona Tenant -> Ustawienia z zakładką Ustawienia OIDC, która zastępuje starą stronę z kluczami podpisywania. Nowa strona zawiera również pole Maksymalny czas życia sesji do ustawiania czasu życia sesji (TTL) w dniach.

Jeżeli korzystasz z OSS, pamiętaj o restarcie usługi po zmianie konfiguracji, by nowe ustawienia OIDC zostały załadowane. Jeśli chcesz, aby aktualizacje ustawień wchodziły w życie automatycznie, rozważ uruchomienie centralnego cache Redis.

Ulepszenia Account Center

Wbudowany Account Center również otrzymał kilka przydatnych ulepszeń w tej wersji.

Użytkownicy mogą teraz:

  • Zastąpić aplikację uwierzytelniającą przez dedykowaną trasę /authenticator-app/replace
  • Użyć parametru URL identifier do wstępnego wypełnienia pól identyfikatora
  • Nadpisać domyślny język Account Center przez parametr URL ui_locales

Usprawniliśmy także formularze haseł dla lepszej kompatybilności z autofill przeglądarki i menedżerami haseł.

Ulepszenia API dla deweloperów

Dla zespołów przenoszących użytkowników do Logto, endpointy GET /users oraz GET /users/:userId obsługują teraz parametr zapytania includePasswordHash. Po jego ustawieniu, odpowiedź zawiera passwordDigest oraz passwordAlgorithm, co pomaga w migracjach wymagających surowych hashów haseł.

Dodaliśmy również wsparcie dla wymiany tokenów dostępu w scenariuszach delegacji service-to-service. Logto może wymieniać nieprzejrzyste lub JWT-akcesyjne tokeny na nowe tokeny o różnych odbiorcach, korzystając ze standardowego typu tokena urn:ietf:params:oauth:token-type:access_token.

Poprawki błędów

Ta wersja zawiera także kilka poprawek stabilności i kompatybilności:

  • Trasy weryfikacji MFA dla TOTP, WebAuthn i kodów zapasowych zgłaszają teraz aktywność do Sentinel, dzięki czemu wykrywanie i izolowanie powtarzalnych niepowodzeń jest łatwiejsze.
  • Zapytania adaptera OIDC dla findByUid oraz findByUserCode używają teraz dosłownych kluczy JSONB, co poprawia działanie indeksów przy planach przygotowanych.
  • Inicjalizacja puli Postgresa ponawia próbę po tymczasowych błędach połączenia przy starcie.
  • Weryfikacja hasła legacy wspiera teraz wartości salt PBKDF2 z prefiksem hex: podczas importu użytkownika.
  • Wydajność wymiany tokenów została poprawiona przez cache minimalnych wyszukiwań OIDC oraz wcześniejsze generowanie grant ID w trakcie wydawania tokena.
  • Formatowanie Twilio SMS To jest teraz normalizowane dla numerów nie-E.164 przez zapewnienie wiodącego +.

Zmiany łamiące zgodność (breaking changes)

Ta wersja zawiera zmiany łamiące zgodność w zestawie narzędzi connector-kit.

Przestarzały mockSmsVerificationCodeFileName został usunięty z @logto/connector-kit.

Zaktualizowaliśmy także ścieżki plików, z których korzystają mock connectory do przechowywania wysłanych wiadomości:

  • /tmp/logto_mock_email_record.txt -> /tmp/logto/mock_email_record.txt
  • /tmp/logto_mock_sms_record.txt -> /tmp/logto/mock_sms_record.txt

Jeśli twoje lokalne lub dockerowe procedury opierają się na starych ścieżkach, musisz je zaktualizować.

Nowi współtwórcy

Dziękujemy nowym współtwórcom za pomoc w ulepszaniu Logto:

Zaczynamy

Gotowy na aktualizację? Zajrzyj do naszego przewodnika po aktualizacji ze szczegółową instrukcją krok po kroku.

Pełna lista zmian dostępna jest na stronie wydań GitHub.

Masz pytania lub chcesz podzielić się opinią? Dołącz do nas na Discordzie lub otwórz issue na GitHubie.