Atualização do produto Logto: Estado de conformidade, JWT personalizado, recursos de API para funções de organização e mais

Estado de conformidade#

O Logto Cloud agora cumpre todos os requisitos da SOC 2 da plataforma de automação de conformidade. Já agendámos uma auditoria SOC 2 Type I e estamos a trabalhar para uma auditoria SOC 2 Type II.

JWT personalizado#

Agora os tokens de acesso JWT podem ser personalizados com reivindicações (claims) adicionais usando fragmentos de código JavaScript personalizado. Esta funcionalidade é útil quando precisas de incluir dados personalizados no token para compatibilidade com outros sistemas.

Para usar esta funcionalidade, navega até ao separador "JWT Personalizado" na Consola. Tanto tokens de utilizador como de máquina a máquina (M2M) podem ser personalizados.

Antes de implementar as alterações, podes usar o botão "Executar teste" para ver como o token ficará com as reivindicações personalizadas.

Consulta 🎫 Reivindicações JWT personalizadas para mais informações.

Recursos de API para funções de organização#

Agora podes atribuir permissões (âmbitos) dos recursos de API às funções de organização. Assim como outras permissões no modelo de organização, estas permissões são ao nível da organização, ou seja, aplicam-se apenas a uma organização específica.

Vamos ver um exemplo:

• Há um recurso de API chamado https://shopping.api/.
• O recurso de API tem dois âmbitos: read e write.
• Existem duas funções de organização: admin e user.
• A função admin tem ambos os âmbitos read e write; a função user tem apenas o âmbito read.
• Uma utilizadora, Alice, está atribuída à função admin na organização foo, e à função user na organização bar.

Quando Alice tenta trocar um token da organização para o recurso https://shopping.api/, ela receberá um token com âmbitos com base na organização para a qual ela está a solicitar o token.

Para a organização foo, Alice receberá um token com ambos os âmbitos read e write. Para a organização bar, ela receberá um token com apenas o âmbito read.

Consulta 🏢 Organizações (Multi-tenant) para uma introdução abrangente às organizações.

Permissões de aplicações de terceiros#

Recursos de API organizacionais também podem ser usados ao configurar permissões para aplicações de terceiros. O utilizador será solicitado a selecionar uma organização ao configurar permissões para uma aplicação de terceiros.

Dados personalizados da organização#

Agora podes guardar dados adicionais associados à organização com o campo customData ao nível da organização através de:

• Edição na página de detalhes da organização na Consola.
• Especificação do campo customData ao usar APIs de Gestão de Organização.

Conectores#

• Adicionado conector Hugging Face.
• O conector GitHub agora tem o user:email como parte do âmbito padrão para buscar a lista de endereços de e-mail privados da conta GitHub.
  • Agora seleciona o e-mail principal verificado entre a lista de endereços de e-mail privados como fallback se o utilizador não definir um e-mail público para a conta do GitHub.
• Removido o sinal de mais à frente do número de telefone no conector feishu (#5801). Mérito @kamto7.

Melhorias#

• Adicionado suporte para Redis Cluster e opções TLS extras para conexões Redis (#5619). Mérito @alekitto.
• Os conectores OIDC e OAuth 2 agora suportam métodos de autenticação de cliente client_secret_basic e client_secret_jwt para o endpoint de token.
• Quando um utilizador é eliminado ou suspenso através da API de Gestão, ele será desconectado no Logto e as suas sessões serão invalidadas imediatamente.
• Suporte ao parâmetro resource separado por vírgulas, pois algumas bibliotecas não suportam arrays de recursos.
• Adicionada uma API para buscar âmbitos de organização de utilizador com base nas funções da organização do utilizador (
  GET /api/organizations/:id/users/:userId/scopes
  ).
• Adicionado guia de integração web Spring Boot em Java.
• Adicionadas expressões zh-cn na página de consentimento OIDC (#5606). Mérito @the-pawn-2017.

Correções#

• APIs de convite de organização devem lidar com os e-mails dos convidados de forma insensível a maiúsculas.
• A API de Gestão não retornará 500 em produção para códigos de status que não estão listados na especificação OpenAPI.
• Retorna 403 em vez de 400 quando o Logto tenta conceder um token de acesso a um utilizador que não tem as permissões necessárias, especialmente ao conceder para recursos relacionados com a organização.
• Corrigido o callback de login social errado que faz o post para o container nativo (por exemplo, WKWebView no iOS).
• Corrigido um bug que o evento de hook de registro de novo utilizador de SSO não era disparado.
• Corrigido um bug que o indicador de recurso da API não funciona se o indicador não for seguido por uma barra ou um caminho.