Logto v1.38.0 jest już dostępny. Ta wersja wprowadza obsługę OAuth 2.0 Device Authorization Grant, logowanie za pomocą kluczy dostępu, adaptacyjne MFA, zarządzanie sesjami i uprawnieniami oraz bardziej elastyczną konfigurację OIDC dla wdrożeń OSS.
CharlesDeveloper
Przestań tracić tygodnie na uwierzytelnianie użytkowników
Uruchamiaj bezpieczne aplikacje szybciej z Logto. Zintegruj uwierzytelnianie użytkowników w kilka minut i skup się na swoim głównym produkcie.
Z radością ogłaszamy Logto v1.38.0, naszą marcową wersję 2026! Ta aktualizacja dodaje przepływ urządzenia dla aplikacji z ograniczonymi możliwościami wprowadzania danych, wprowadza logowanie kluczem dostępu oraz ulepszenia adaptacyjnego MFA, a także rozszerza zarządzanie sesjami, uprawnieniami i konfiguracją na poziomie tenantów w całym Logto.
Device flow dla aplikacji z ograniczonym wprowadzaniem danych#
Jednym z największych dodatków w tej wersji jest wsparcie dla OAuth 2.0 Device Authorization Grant. Dzięki temu znacznie łatwiej jest tworzyć procesy uwierzytelniania dla urządzeń, które nie mają pełnej klawiatury ani przeglądarki, takich jak smart TV, narzędzia CLI, konsole do gier i urządzenia IoT.
Dzięki device flow użytkownicy mogą:
Rozpocząć logowanie na urządzeniu
Otworzyć adres weryfikacyjny na innym urządzeniu
Wprowadzić krótki kod użytkownika
Dokończyć uwierzytelnianie tam
Wrócić na oryginalne urządzenie z wydanymi tokenami
Dodaliśmy również pełne wsparcie w Konsoli dla aplikacji typu device flow. Możesz teraz tworzyć takie aplikacje wybierając Aplikacja ograniczona pod względem wprowadzania / CLI wśród natywnych aplikacji lub wybierając Device flow jako przepływ autoryzacyjny przy ręcznym tworzeniu aplikacji. Strona ustawień aplikacji zawiera również wbudowany przewodnik i demo, które pomogą ci zacząć.
Logowanie kluczem dostępu jako pełnoprawny przepływ#
Ta wersja wprowadza logowanie kluczem dostępu jako pełną metodę uwierzytelniania w Logto.
Logowanie kluczem dostępu zapewnia szybsze, bezhasłowe logowanie dla powracających użytkowników, jednocześnie zwiększając bezpieczeństwo konta. Działa z dobrze znanymi platformowymi uwierzytelniaczami, takimi jak Face ID, Touch ID i Windows Hello.
Dodaliśmy wsparcie dla kilku scenariuszy użytkownika opartych o klucze dostępu:
Dedykowany przycisk Kontynuuj z kluczem dostępu dla natychmiastowego logowania
Przepływ z najpierw identyfikatorem, który najpierw weryfikuje klucz dostępu, a dopiero potem przechodzi do hasła lub kodu weryfikacyjnego
Wsparcie dla autofill przeglądarki, aby użytkownik mógł wybrać zapisany klucz dostępu bezpośrednio z pola identyfikatora
Powiązanie klucza dostępu podczas rejestracji nowych użytkowników
Wykorzystanie już istniejącego WebAuthn MFA jako logowania kluczem dostępu bez ponownej rejestracji
Adaptacyjne MFA jest teraz obsługiwane w Logto. Po włączeniu, przepływ logowania ocenia reguły adaptacyjnego MFA względem bieżącego kontekstu logowania i wymaga MFA, gdy reguły zostaną spełnione.
Obejmuje to także:
Konfigurację adaptacyjnego MFA w Konsoli
Zachowywanie kontekstu logowania w danych interakcji
Dostęp do context.interaction.signInContext w skryptach custom-claims
Nowe zdarzenie webhook PostSignInAdaptiveMfaTriggered
Dla użytkowników, którzy nie muszą konfigurować MFA, Logto może teraz wyświetlić dedykowaną stronę onboardingową po weryfikacji danych uwierzytelniających, pytając o chęć włączenia MFA dla lepszej ochrony.
To szczególnie przydatne w połączeniu z logowaniem kluczem dostępu, gdzie użytkownik może chcieć korzystać z kluczy dostępu do logowania, ale niekoniecznie włączać je jako czynnik MFA w tym samym czasie.
Zarządzanie sesją i uprawnieniami przez API i Konsolę#
Ta wersja dodaje istotny zestaw opcji kontroli kont użytkownika i admina dotyczących sesji oraz autoryzowanych aplikacji.
Logto obsługuje teraz zarządzanie sesjami zarówno w API konta, jak i API zarządzania. Możesz wylistować aktywne sesje, sprawdzić szczegóły sesji i unieważnić sesje z opcjonalnym usunięciem grantów.
Wprowadziliśmy również:
Nową uprawnienie session w ustawieniach Account Center z opcjami off, readOnly i edit
Nowy zakres użytkownika urn:logto:scope:sessions dla API konta dotyczącego sesji
Bogatszy kontekst sesji, w tym IP, user agent i lokalizacja GEO (jeśli dostępne)
W Konsoli szczegóły użytkownika obejmują teraz sekcję Aktywne sesje i dedykowaną stronę szczegółów sesji z obsługą unieważniania.
Logto obsługuje teraz wylistowanie i unieważnienie uprawnień aplikacyjnych użytkownika zarówno w API konta, jak i API zarządzania.
Ta wersja wprowadza również sekcję Uprawnione aplikacje zewnętrzne na stronie szczegółów użytkownika w Konsoli. Administratorzy mogą teraz zobaczyć aktywne autoryzacje zewnętrzne, przeglądać metadane takie jak nazwa aplikacji i czas utworzenia oraz bezpośrednio odebrać dostęp poprzez UI.
Ograniczenia liczby równoczesnych urządzeń na poziomie aplikacji#
Aplikacje mogą teraz zdefiniować wartość maxAllowedGrants w customClientMetadata, aby ograniczyć liczbę aktywnych uprawnień, które użytkownik może zachować dla danej aplikacji. Po przekroczeniu ustawionego limitu, Logto automatycznie usuwa najstarsze uprawnienia.
Konsola zawiera także nową sekcję Limit równoczesnych urządzeń w szczegółowych danych aplikacji, dzięki czemu możesz to skonfigurować wizualnie.
Dla użytkowników OSS ta wersja umożliwia łatwiejszą i bardziej elastyczną konfigurację ustawień OIDC.
Możesz teraz zdefiniować oidc.session.ttl w logto-config, aby dostosować czas życia sesji dostawcy OIDC (w sekundach). Jeżeli nie ustawisz, domyślnie pozostaje 14 dni.
Dalej dodaliśmy:
GET /api/configs/oidc/session
PATCH /api/configs/oidc/session
W Konsoli OSS pojawia się nowa strona Tenant -> Ustawienia z zakładką Ustawienia OIDC, która zastępuje starą stronę z kluczami podpisywania. Nowa strona zawiera również pole Maksymalny czas życia sesji do ustawiania czasu życia sesji (TTL) w dniach.
Jeżeli korzystasz z OSS, pamiętaj o restarcie usługi po zmianie konfiguracji, by nowe ustawienia OIDC zostały załadowane. Jeśli chcesz, aby aktualizacje ustawień wchodziły w życie automatycznie, rozważ uruchomienie centralnego cache Redis.
Dla zespołów przenoszących użytkowników do Logto, endpointy GET /users oraz GET /users/:userId obsługują teraz parametr zapytania includePasswordHash. Po jego ustawieniu, odpowiedź zawiera passwordDigest oraz passwordAlgorithm, co pomaga w migracjach wymagających surowych hashów haseł.
Dodaliśmy również wsparcie dla wymiany tokenów dostępu w scenariuszach delegacji service-to-service. Logto może wymieniać nieprzejrzyste lub JWT-akcesyjne tokeny na nowe tokeny o różnych odbiorcach, korzystając ze standardowego typu tokena urn:ietf:params:oauth:token-type:access_token.
Ta wersja zawiera także kilka poprawek stabilności i kompatybilności:
Trasy weryfikacji MFA dla TOTP, WebAuthn i kodów zapasowych zgłaszają teraz aktywność do Sentinel, dzięki czemu wykrywanie i izolowanie powtarzalnych niepowodzeń jest łatwiejsze.
Zapytania adaptera OIDC dla findByUid oraz findByUserCode używają teraz dosłownych kluczy JSONB, co poprawia działanie indeksów przy planach przygotowanych.
Inicjalizacja puli Postgresa ponawia próbę po tymczasowych błędach połączenia przy starcie.
Weryfikacja hasła legacy wspiera teraz wartości salt PBKDF2 z prefiksem hex: podczas importu użytkownika.
Wydajność wymiany tokenów została poprawiona przez cache minimalnych wyszukiwań OIDC oraz wcześniejsze generowanie grant ID w trakcie wydawania tokena.
Formatowanie Twilio SMS To jest teraz normalizowane dla numerów nie-E.164 przez zapewnienie wiodącego +.
