Logto v1.39.0 är här och introducerar säkrare rotation av signeringsnycklar, smartare felhantering för JWT-skript, utökade säkerhetskontroller i Kontocentret, stöd för WhatsApp-anslutning samt viktiga säkerhetsförbättringar.
Vi är glada att presentera Logto v1.39.0, en release som fokuserar på starkare operationell säkerhet, mer flexibel tokenanpassning och förbättrad säkerhet för slutanvändarnas konton. Denna version lägger till en respitperiod för rotation av privata signeringsnycklar, konfigurerbar felhantering för anpassade JWT-skript, en ny säkerhetssida i Kontocentret, stöd för WhatsApp-anslutning via Meta Cloud API samt flera säkerhets- och tillförlitlighetsförbättringar i autentiseringsflödena.
Logto stödjer nu en respitperiod vid rotation av privata signeringsnycklar.
Detta kan konfigureras via:
PRIVATE_KEY_ROTATION_GRACE_PERIOD.--gracePeriod.Under respitperioden:
Efter att respitperioden är över:
Detta ger en smidigare nyckelrotation och minskar risken för autentiseringsfel på grund av föråldrade JWKS-cachear.
Dokumentation: Rotera signeringsnycklar
Logto stödjer nu konfigurerbar felhantering för anpassade JWT-skript som används i åtkomsttoken- och klientcredentials-flöden.
Inkluderade ändringar:
api.denyAccess() bibehålls som ett access_denied-svar.invalid_request-svar.blockIssuanceOnError aktiverat som standard.Detta ger utvecklare möjligheten att välja om ett mislyckat tokenanpassningsskript ska ge öppet eller slutet fel beroende på deras säkerhetskrav.
Den här versionen lägger till en ny säkerhetssida i det förbyggda Kontocentret.
Slutanvändare kan nu administrera kontosäkerhet på /account/security, inklusive:
Stöd i konsolen:
En ny WhatsApp-anslutning har lagts till för att skicka meddelanden via Meta Cloud API.
Detta möjliggör scenario för SMS/verifieringskods-leveranser via WhatsApp med officiell Meta Cloud API-integration.
API:er för tilldelning av användare och roller i organisationer returnerar nu data.
Uppdaterade endpoints:
POST /organizations/:id/users returnerar nu { userIds: string[] }, vilket ekar användar-ID:n som skickats i anropet.POST /organizations/:id/users/:userId/roles returnerar { organizationRoleIds: string[] }, som innehåller slutlig deduplikerad lista med roll-ID:n tilldelade till användaren, inklusive ID:n upplösta från rollnamn.Konsolteman innehåller nu den saknade token --color-overlay-primary-subtle för både ljust och mörkt läge.
Verifiering vid "glömt lösenord" returnerar nu ett enhetligt fel: verification_code.code_mismatch.
Detta förhindrar att flödet avslöjar om en e-postadress eller ett telefonnummer existerar baserat på olika felsvar.
Förbättrad pålitlighet för omdirigeringar vid social inloggning och SSO i appwebbläsare såsom Instagram, Facebook och LINE.
Vissa app-webbläsare öppnar OAuth-identitetsleverantörernas sidor i en ny WebView, vilket kan resultera i att sessionStorage rensas vid tillbakaomdirigering.
Den här releasen lägger till fallback till localStorage:
sessionStorage.localStorage.localStorage om sessionStorage saknas.Åtgärdar ett problem där begärande IP inte skickades till anslutningar vid utskick av verifieringskoder.
Detta gör det möjligt för anslutningar att ta emot korrekt begärandekontext vid leverans av verifieringskod.