Atualizações de produto do Logto

O Logto v1.36 chegou. Esta versão traz suporte para URI de redirecionamento com wildcard, controlo de troca de token ao nível da aplicação, e a possibilidade de confiar em e-mails não verificados nos conectores OIDC.

URIs de redirecionamento com wildcard#

Graças ao contributo da comunidade @Arochka, agora podes usar padrões wildcard (*) nos URIs de redirecionamento. Isto é especialmente útil para ambientes dinâmicos como implementações de pré-visualização, onde os URLs são gerados dinamicamente.

Regras para aplicações web:

• Os wildcards funcionam no hostname e caminho dos URIs http/https
• Não são permitidos wildcards no esquema, porta, query ou hash
• Os padrões de hostname devem incluir pelo menos um ponto para evitar corresponder demasiados domínios

Troca de token com controlo ao nível da aplicação#

A troca de token está agora disponível para aplicações machine-to-machine e tens controlo detalhado sobre que apps podem utilizá-la.

• Nova configuração allowTokenExchange na configuração da aplicação
• Novas apps têm a troca de token desativada por defeito
• Apps existentes de primeira parte (Tradicional, Nativa, SPA) mantêm-na ativa para compatibilidade retroativa
• Apps de terceira parte não podem usar troca de token
• O Console mostra um aviso de risco ao ativar para clientes públicos

Confiar em e-mail não verificado nos conectores OIDC#

Alguns fornecedores de identidade não devolvem email_verified ou devolvem como false mesmo quando o e-mail é válido. Agora podes configurar conectores sociais OIDC e conectores SSO empresariais para sincronizar e-mails independentemente do estado de verificação.

Ativa trustUnverifiedEmail na configuração do teu conector (o valor predefinido é false). Esta opção está disponível no Admin Console para conectores OIDC e SSO do Azure AD.

Saltar a recolha de identificador na autenticação social#

As diretrizes da App Store da Apple requerem que o "Iniciar sessão com a Apple" não peça informações adicionais para além do que a Apple fornece. Para ajudar nisto, adicionámos uma nova opção para saltar a recolha obrigatória de identificador durante a autenticação social.

Encontra a caixa de verificação "Exigir que os utilizadores forneçam identificador em falta no registo" na secção "Autenticação social" das tuas definições de experiência de autenticação.

Melhorias na API#

APIs de funções de utilizador agora devolvem resultados

• POST /users/:userId/roles devolve { roleIds, addedRoleIds } mostrando que funções foram atribuídas de novo
• PUT /users/:userId/roles devolve { roleIds } confirmando o estado final

Nova função createApiClient em @logto/api

Cria um cliente API type-safe com a tua própria lógica de obtenção de token para fluxos de autenticação personalizados.

Correções de bugs#

• Timeout de Postgres: Definido DATABASE_STATEMENT_TIMEOUT=DISABLE_TIMEOUT para compatibilidade com PgBouncer/RDS Proxy
• Erro SSO empresarial: Corrigido o código de erro quando a conta SSO não existe
• Domínios de e-mail JIT: Removido limite de paginação para mostrar todos os domínios no Console
• Autenticação direta: Corrigidos pedidos automáticos de autenticação repetidos
• Filtros do log de auditoria: Corrigidos erros de digitação que causavam resultados vazios