Atualização do produto Logto: Status de conformidade, JWT personalizado, recursos de API para funções de organização e mais

Status de conformidade#

O Logto Cloud agora passa em todas as verificações SOC 2 da plataforma de automação de conformidade. Agendamos uma auditoria SOC 2 Tipo I e estamos trabalhando para uma auditoria SOC 2 Tipo II.

JWT personalizado#

Os tokens de acesso JWT agora podem ser personalizados com claims adicionais usando trechos de código JavaScript personalizados. Esse recurso é útil quando você precisa incluir dados personalizados no token para compatibilidade com outros sistemas.

Para usar este recurso, navegue até a aba "JWT personalizado" no Console. Tanto os tokens de usuário quanto os tokens de máquina-a-máquina (M2M) podem ser personalizados.

Antes de implantar as alterações, você pode usar o botão "Executar teste" para ver como o token ficará com as claims personalizadas.

Veja 🎫 Claims personalizados em JWT para mais informações.

Recursos de API para funções de organização#

Agora você pode atribuir permissões (escopos) dos recursos de API às funções de organização. Como outras permissões no modelo de organização, essas permissões são de nível organizacional, o que significa que se aplicam apenas a uma organização específica.

Vamos ver um exemplo:

• Há um recurso de API chamado https://shopping.api/.
• O recurso de API tem dois escopos: read e write.
• Existem duas funções organizacionais: admin e user.
• A função admin tem os escopos read e write; a função user tem apenas o escopo read.
• Uma usuária, Alice, é atribuída à função admin na organização foo e à função user na organização bar.

Quando Alice tenta trocar um token de organização pelo recurso https://shopping.api/, ela receberá um token com escopos baseados em qual organização ela está solicitando o token.

Para a organização foo, Alice receberá um token com os escopos read e write. Para a organização bar, ela receberá um token com apenas o escopo read.

Veja 🏢 Organizações (Multi-tenancy) para uma introdução abrangente às organizações.

Permissões de aplicativos de terceiros#

Os recursos de API organizacional também podem ser usados ao configurar permissões para aplicativos de terceiros. O usuário será solicitado a selecionar uma organização ao configurar permissões para um aplicativo de terceiros.

Dados personalizados da organização#

Agora você pode salvar dados adicionais associados à organização com o campo customData de nível organizacional por meio de:

• Edição na página de detalhes da organização no Console.
• Especificação do campo customData ao usar as APIs de Gestão de Organização.

Conectores#

• Adicionado conector Hugging Face.
• O conector do GitHub agora possui user:email como parte do escopo padrão para buscar a lista de endereços de email privados da conta GitHub.
  • Agora ele escolhe o email primário verificado entre a lista de emails privados como fallback caso o usuário não tenha configurado um email público na conta do GitHub.
• Removido o sinal de mais na frente do número de telefone no conector Feishu (#5801). Crédito @kamto7.

Melhorias#

• Adicionada compatibilidade com Redis Cluster e opções extras de TLS para conexões Redis (#5619). Crédito @alekitto.
• Conectores OIDC e OAuth 2 agora suportam métodos de autenticação de cliente client_secret_basic e client_secret_jwt para o endpoint de token.
• Quando um usuário é excluído ou suspenso por meio da API de Gestão, ele será desconectado no Logto e suas sessões serão imediatamente invalidadas.
• Suporte ao parâmetro resource separado por vírgulas, já que algumas bibliotecas não suportam array de recursos.
• Adicionada uma API para buscar os escopos da organização do usuário com base nas funções da organização do usuário (
  GET /api/organizations/:id/users/:userId/scopes
  ).
• Adicionado guia de integração web Java Spring Boot.
• Adicionadas frases em zh-cn na página de consentimento OIDC (#5606). Crédito @the-pawn-2017.

Correções#

• As APIs de convite de organização devem tratar os emails dos convidados de forma case insensitive.
• A API de Gestão não retornará mais status 500 em produção para códigos de status que não estão listados na especificação OpenAPI.
• Retornar 403 em vez de 400 quando o Logto tenta conceder um token de acesso a um usuário sem as permissões necessárias, especialmente ao conceder recursos relacionados à organização.
• Corrigido o callback de login social incorreto que postava para o container nativo (por exemplo, WKWebView no iOS).
• Corrigido o bug em que o evento do hook de registro de novo usuário por SSO não era acionado.
• Corrigido um bug em que o indicador de recurso de API não funcionava se o indicador não fosse seguido por uma barra ou caminho.