Logto v1.38.0 är här. Denna version introducerar stöd för OAuth 2.0 Device Authorization Grant, passkey-inloggning, adaptiv MFA, hantering av sessioner och beviljanden, samt mer flexibel OIDC-konfiguration för OSS-distributioner.
Vi är glada att kunna meddela Logto v1.38.0, vår mars 2026-version! Denna uppdatering lägger till device flow för appar med begränsad inmatning, introducerar passkey-inloggning och förbättringar för adaptiv MFA, samt utökar session-, grant- och hyresnivåinställningar över hela Logto.
En av de största nyheterna i denna version är stöd för OAuth 2.0 Device Authorization Grant. Detta gör det mycket enklare att bygga autentiseringsflöden för enheter som inte har ett fullständigt tangentbord eller webbläsare, som smarta TV-apparater, CLI-verktyg, spelkonsoler och IoT-enheter.
Med device flow kan användare:
Vi har även lagt till fullständigt Console-stöd för device flow-applikationer. Du kan nu skapa device flow-appar genom att välja Input-limited app / CLI under Native apps, eller genom att välja Device flow som authorizationsflöde när du skapar en app manuellt. Applikationsinställningssidan innehåller också en inbyggd guide och demo för att hjälpa dig komma igång.
Denna version introducerar passkey-inloggning som en fullständig autentiseringsmetod i Logto.
Passkey-inloggning ger en snabbare, lösenordsfri upplevelse för återkommande användare samtidigt som kontosäkerheten förbättras. Det fungerar med välkända plattformsautentiserare som Face ID, Touch ID och Windows Hello.
Vi har lagt till stöd för flera användarflöden baserade på passkey:
För mer information, se vår dokumentation för passkey-inloggning.
Denna version fortsätter vår satsning på moderna MFA-upplevelser med två större förbättringar.
Adaptiv MFA stöds nu i Logto. När den är aktiverad utvärderar inloggningsflödet adaptiva MFA-regler mot den aktuella inloggningskontexten och kräver MFA när dessa regler utlöses.
Detta inkluderar även:
context.interaction.signInContext i custom-claims-skriptPostSignInAdaptiveMfaTriggeredFör användare som inte måste aktivera MFA, kan Logto nu visa en dedikerad onboarding-sida efter verifiering av inloggningsuppgifter, där de får frågan om de vill aktivera MFA för bättre skydd.
Detta är särskilt användbart tillsammans med passkey-inloggning, där en användare kanske vill använda passkeys för inloggning utan att nödvändigtvis aktivera dem som en MFA-faktor samtidigt.
Denna version lägger till ett omfattande utbud av kontroller för konton och administratörer kring användarsessioner och auktoriserade applikationer.
Logto stöder nu sessionshantering i både konto-API:er och hanterings-API:er. Du kan lista aktiva sessioner, granska sessionsdetaljer och återkalla sessioner med valfri återkallelse av beviljanden.
Vi har också introducerat:
session-behörighet i Account Center-inställningarna med alternativen off, readOnly och editurn:logto:scope:sessions användarområde för API-åtkomst relaterad till sessionerPå Console-sidan innefattar användardetaljer nu en sektion för Aktiva sessioner och en dedikerad sida för sessionsdetaljer med stöd för att återkalla sessioner.
Logto stöder nu listning och återkallande av användarens applikationsbeviljanden i både konto- och hanterings-API:er.
Denna version introducerar även sektionen Auktoriserade tredjeparts-appar på användardetaljsidan i Console. Administratörer kan nu se aktiva tredjepartsauktoriseringar, granska metadata som appnamn och skapelsedatum samt återkalla åtkomst direkt i användargränssnittet.
Appar kan nu definiera ett värde för maxAllowedGrants i customClientMetadata för att begränsa hur många aktiva beviljanden en användare kan ha för en specifik app. När den specificerade gränsen nås, återkallar Logto automatiskt de äldsta beviljandena.
Console inkluderar även en ny sektion Begränsning av samtidiga enheter i applikationsdetaljer så att detta kan konfigureras visuellt.
För OSS-användare gör denna version OIDC-inställningarna mer konfigurerbara och lättare att hantera.
Du kan nu definiera oidc.session.ttl i logto-config för att anpassa OIDC-leverantörens sessionslivslängd (TTL) i sekunder. Om den inte anges är standardvärdet 14 dagar.
Vi har även lagt till:
GET /api/configs/oidc/sessionPATCH /api/configs/oidc/sessionPå Console-sidan får OSS nu en ny Hyresgäst -> Inställningar-sida, med en OIDC-inställningar-flik som ersätter den gamla sidan för signeringsnycklar. Den nya sidan har även ett fält för Maximal sessionstid för att konfigurera sessionens TTL i dagar.
Om du kör OSS, kom ihåg att starta om tjänsten efter ändringar i konfigurationen så att nya OIDC-inställningar laddas. Om du vill att konfigurationsändringar ska börja gälla automatiskt, överväg att aktivera central Redis-cache.
Det färdigpaketerade Account Center får också flera användbara förbättringar i denna version.
Användare kan nu:
/authenticator-app/replace-ruttidentifier URL-parametern för att förifylla identifieringsfältui_locales-URL-parameternVi har även förbättrat lösenordsformulär för bättre webbläsar-autofyll och kompatibilitet med lösenordshanterare.
För team som migrerar användare till Logto stöder nu GET /users och GET /users/:userId-endpunkterna en parameter: includePasswordHash. När den är aktiverad inkluderar svaret även passwordDigest och passwordAlgorithm, vilket kan hjälpa till i migreringsflöden som kräver råa lösenordshashar.
Vi har även lagt till stöd för tokenutbyte i delegation mellan tjänster. Logto kan nu byta ut opaka eller JWT-access tokens mot nya access tokens med andra målgrupper via standarden urn:ietf:params:oauth:token-type:access_token.
Denna version inkluderar flera stabilitets- och kompatibilitetsförbättringar:
findByUid och findByUserCode använder nu bokstavliga JSONB-nycklar så att expressionsindex fungerar bättre vid generiska förberedda planer.hex: vid användarimport.To normaliseras nu för icke-E.164-nummer genom att säkerställa ett ledande +.Denna version innehåller en brytande ändring i connector toolkit.
Den länge avvecklade mockSmsVerificationCodeFileName-exporten har tagits bort från @logto/connector-kit.
Vi har även uppdaterat filsökvägarna som används av mock connectors för att lagra loggade meddelandeposter:
/tmp/logto_mock_email_record.txt -> /tmp/logto/mock_email_record.txt/tmp/logto_mock_sms_record.txt -> /tmp/logto/mock_sms_record.txtOm dina lokala arbetsflöden eller Docker-baserade arbetsflöden är beroende av de gamla sökvägarna måste du uppdatera dem.
Tack till våra nya bidragsgivare som hjälpt till att förbättra Logto:
Redan redo att uppgradera? Kolla in vår uppgraderingsguide för steg-för-steg-instruktioner.
För en komplett lista över ändringar, se GitHub-släppssidan.
Har du frågor eller feedback? Gå med oss på Discord eller öppna ett ärende på GitHub.