Вышла Logto v1.46.0. Она приносит OIDC-аутентификацию с повышением уровня, вход через Ethereum, способ сохранить подсказку iOS по сохранению пароля, самостоятельные персональные токены доступа и улучшение безопасности.
Logto v1.46.0 представляет OIDC-аутентификацию с повышением уровня для чувствительных действий, вход через Ethereum, возможность сохранить системную подсказку iOS "Сохранить пароль" и самостоятельное управление персональными токенами доступа в Центре аккаунтов, а также GeeTest CAPTCHA, статические атрибуты SAML и набор усилений безопасности. Вот что нового.
Теперь приложения могут требовать недавний или более сильный вход перед выполнением чувствительных действий, используя стандартные параметры OIDC.
acr_values и max_age в запросе на авторизацию, затем читайте acr, amr и auth_time из ID токенов, access токенов и ответов на интроспекцию. Поддерживаемые значения ACR указаны в документе обнаружения (discovery document).max_age.Подробнее смотрите в руководстве по аутентификации с повышением уровня.
Новый социальный коннектор Ethereum Wallet (@logto/connector-siwe) позволяет пользователям входить с EVM-кошельком. Пользователи с браузерным кошельком (инъекции EIP-1193 провайдера) подписывают одноразовое сообщение для входа через Ethereum (EIP-4361) прямо на странице входа. Один адрес работает во всех поддерживаемых EVM-цепочках, а администраторы могут ограничивать допустимые chain ID.
В iOS, ASWebAuthenticationSession закрывается, как только видит callback URL приложения, что сразу убирает системную подсказку "Сохранить пароль" после стандартного входа по паролю.
Передайте новый параметр входа confirm_redirect_policy=password, чтобы после ввода пароля показать страницу "Продолжить". Переход обратно в приложение произойдет только когда пользователь выберет "Продолжить", так что подсказка останется на экране. Без параметра Logto сразу возвращает пользователя, как раньше.
В консоли в руководстве по Swift показан пример использования. См. подробнее: Сохранить подсказку iOS по паролю.
Когда в Центре аккаунтов включены персональные токены доступа, пользователи могут создавать, переименовывать и отзывать свои токены на странице Безопасность. Каждый токен показывается только один раз при создании и действует до 365 дней.
Те же операции доступны через API аккаунта по адресу /api/my-account/personal-access-tokens с использованием нового scope urn:logto:scope:personal_access_tokens.
mfa.required через Management API. Пользователь будет обязан настроить MFA при следующем входе вне зависимости от политики организации.$5$ и $6$), используя алгоритм пароля Legacy.access_denied при отмене входа: Отмена страницы согласия или неудачный прямой вход теперь возвращает пользователя в клиентское приложение с access_denied. В пользовательских сценариях входа можно завершить процесс аналогично через POST /api/experience/abort.login_hint для Центра аккаунтов: Добавьте login_hint к любому URL Центра аккаунтов, чтобы автозаполнить идентификатор при необходимости входа.staticAttributes в Management API.same-origin-allow-popups или same-origin в Консоль > Опыт входа > Брендинг > Bring your UI. По умолчанию заголовок не отправляется, чтобы приложения, открывающие вход во всплывающем окне, продолжали работать.GET /api/users принимает многократно повторяемый параметр запроса customData, например customData={"customId":114514}.GET /api/organizations принимает параметр jitEmailDomain для поиска организаций, в которые будет добавлен пользователь с соответствующим доменом email.hasPassword для участников организаций: GET /api/organizations/:id/users теперь показывает, установлен ли у каждого участника пароль.deliveryId: Каждый payload вебхука теперь содержит deliveryId, который сохраняется для всех повторных попыток доставки, чтобы получатели могли обработать доставку ровно один раз. Это также идентификатор записи аудита доставки.Этот релиз включает исправления уязвимостей MFA, социального и корпоративного входа, API аккаунта и Logto Tunnel.
Range-запросы при сервисе статики.Полные детали смотрите в заметках о выпуске v1.46.0.
502 connector.social_provider_unreachable, отказ в авторизации — 401 connector.authorization_failed, а сообщения об ошибках содержат настоящую ошибку вместо {}.invalid_scope — пользователи остаются авторизованы.customClientMetadata теперь отклоняются, так что опечатки, например refreshTokenTtlInDay, не проходят незамеченными.o365role, теперь содержат значение пользователя, а не строку-заполнитель.expires_in как строку и scope как массив, а Patreon коннектор обновлён до API v2, чтобы вход снова работал.Cannot find 'client' in scope. (Спасибо @timokoethe).logto db alteration deploy) после обновления и до запуска новой версии./console не совпадает ни с одним настроенным административным эндпоинтом, помогая вовремя заметить неправильный ADMIN_ENDPOINT.Спасибо участникам сообщества, чья работа вошла в этот релиз:
deliveryId (#9882), hasPassword для участников организации (#9883), фильтрация организаций по домену just-in-time (#9912), проверка ключей customClientMetadata (#9931), более понятные ошибки входа через соцсети (#9879, #9880), повторы подключения к базе (#9881, #9928), и обработка ошибок запросов в коннекторах (#9849)ADMIN_ENDPOINT (#9408)Готовы обновиться? Ознакомьтесь с нашим руководством по обновлению для пошаговых инструкций.
Полный список изменений смотри на странице релиза на GitHub.
Есть вопросы или фидбек? Присоединяйся к нам на Discord или создай issue на GitHub.