O Logto v1.46.0 chegou. Ele traz autenticação de step-up OIDC, Login com Ethereum, uma forma de manter o prompt Salvar Senha do iOS, tokens de acesso pessoal self-service e uma rodada de reforço de segurança.
O Logto v1.46.0 introduz autenticação de step-up OIDC para ações sensíveis, Login com Ethereum, uma forma de manter o prompt "Salvar Senha" no iOS, e tokens de acesso pessoal self-service no Account Center, além do GeeTest CAPTCHA, atributos estáticos SAML e uma rodada de reforço de segurança. Confira as novidades.
Agora os apps podem exigir um login recente ou mais forte antes de ações sensíveis, usando parâmetros OIDC padrão.
acr_values e max_age na requisição de autorização e então leia acr, amr e auth_time dos tokens ID, tokens de acesso e respostas de introspecção. Os valores ACR suportados são divulgados no documento de discovery.max_age.Veja o guia de autenticação de step-up para configuração e detalhes.
O novo conector social Ethereum Wallet (@logto/connector-siwe) permite que usuários façam login com uma carteira EVM. Usuários com uma carteira de navegador (um provider EIP-1193 injetado) assinam uma mensagem única de Login com Ethereum (EIP-4361) sem sair da página de login. Um endereço funciona em todas as chains EVM suportadas, e admins podem restringir os chain IDs permitidos.
No iOS, o ASWebAuthenticationSession fecha assim que vê a URL de callback do app, o que dispensa o prompt do sistema "Salvar Senha" logo após um login por senha.
Passe o novo parâmetro de login confirm_redirect_policy=password para mostrar uma página "Continuar" depois que o usuário digita a senha. A página só retorna ao app quando o usuário seleciona "Continuar", mantendo o prompt na tela. Sem o parâmetro, o Logto redireciona imediatamente como antes.
O guia de integração Swift no Console mostra como usar isso. Veja Mantenha o prompt Salvar Senha do iOS.
Quando os tokens de acesso pessoal estão ativados no Account Center, usuários podem criar, renomear e revogar seus próprios tokens na página Segurança do Account Center. Cada token aparece apenas uma vez ao ser criado e expira em até 365 dias.
As mesmas operações estão disponíveis pela API de Conta em /api/my-account/personal-access-tokens, com o novo escopo urn:logto:scope:personal_access_tokens.
mfa.required via API de Gerenciamento. O usuário deverá configurar MFA no próximo login, independentemente da política de MFA da organização.$5$ e $6$) usando o algoritmo de senha Legacy.access_denied quando o login é cancelado: Cancelar a página de consentimento, ou um login direto falho, agora retorna o usuário ao app cliente com access_denied. Experiências de login customizadas podem encerrar a interação do mesmo modo com POST /api/experience/abort.login_hint para o Account Center: Adicione login_hint a qualquer URL do Account Center para pré-preencher o identificador quando o usuário precisar fazer login.staticAttributes na API de Gerenciamento.same-origin-allow-popups ou same-origin em Console > Experiência de login > Branding > Traga sua UI. O padrão não envia cabeçalho algum, assim apps que abrem o login em um popup continuam funcionando.GET /api/users aceita o parâmetro de query repetível customData, por exemplo customData={"customId":114514}.GET /api/organizations aceita um parâmetro de query jitEmailDomain que retorna as organizações em que um usuário com este domínio de e-mail seria provisionado.hasPassword para membros da organização: GET /api/organizations/:id/users agora mostra se cada membro tem uma senha definida.deliveryId: Todo payload de webhook agora carrega um deliveryId que permanece igual entre tentativas, para que os receptores possam processar cada entrega exatamente uma vez. Também é o ID do registro no log de auditoria da entrega.Esta versão inclui correções de segurança em MFA, login social e corporativo, Account API e Logto Tunnel.
Range ao servir arquivos estáticos.Confira as notas de lançamento v1.46.0 para mais detalhes.
502 connector.social_provider_unreachable, uma autorização negada retorna 401 connector.authorization_failed, e os erros de conector mostram a mensagem real do provedor em vez de {}.scope com espaço: Requisições de refresh token de clientes como OpenAI Codex, que enviam scope com espaço inicial, não falham mais com invalid_scope, assim os usuários continuam logados.customClientMetadata, assim typos como refreshTokenTtlInDay não passam mais despercebidos.o365role agora carregam os valores reais do usuário e não mais um placeholder literal.expires_in como string e scope como array nas respostas de token, e o conector Patreon agora usa a API Patreon v2 para que login via Patreon volte a funcionar.Cannot find 'client' in scope. (Obrigado ao @timokoethe).logto db alteration deploy) após a atualização e antes de iniciar a nova versão./console não corresponde a nenhum endpoint admin configurado, ajudando a detectar erro de configuração em ADMIN_ENDPOINT.Obrigado aos membros da comunidade cujo trabalho foi incluído neste lançamento:
deliveryId (#9882), hasPassword para membros de organização (#9883), filtro de organização por domínio de provisionamento just-in-time (#9912), validação de chave customClientMetadata (#9931), erros de login social mais claros (#9879, #9880), tentativas de conexão a banco de dados (#9881, #9928), e tratamento de erros de requisição de conector (#9849)ADMIN_ENDPOINT não correspondente (#9408)Pronto para atualizar? Confira nosso guia de atualização para instruções passo a passo.
Para a lista completa de mudanças, veja a página de lançamentos no GitHub.
Tem dúvidas ou sugestões? Junte-se a nós no Discord ou abra uma issue no GitHub.