Logto v1.46.0 är här. Den för med sig OIDC step-up-autentisering, Sign-In med Ethereum, ett sätt att behålla iOS-dialogen för Spara lösenord, självbetjäning av personliga åtkomsttoken och en omgång säkerhetsförstärkningar.
Logto v1.46.0 introducerar OIDC step-up-autentisering för känsliga åtgärder, Sign-In med Ethereum, ett sätt att behålla iOS "Spara lösenord"-dialogen och självbetjäning av personliga åtkomsttoken i Account Center, tillsammans med GeeTest CAPTCHA, SAML statiska attribut och en omgång säkerhetsförstärkning. Här är vad som är nytt.
Appar kan nu kräva en nyligen eller starkare inloggning innan känsliga åtgärder, genom att använda standard-OIDC-parametrar.
acr_values och max_age i auktoriseringsbegäran, och läs sedan acr, amr och auth_time från ID-tokens, access tokens och introspektionssvar. Stödda ACR-värden annonseras i discovery-dokumentet.max_age.Se guiden för step-up-autentisering för installation och detaljer.
Den nya Ethereum Wallet sociala connectorn (@logto/connector-siwe) låter användare logga in med en EVM-plånbok. Användare med en webbläsarplånbok (en injicerad EIP-1193-provider) signerar ett engångsmeddelande för Sign-In med Ethereum (EIP-4361) utan att lämna inloggningssidan. En adress fungerar över stödda EVM-kedjor och administratörer kan begränsa tillåtna kedje-ID.
På iOS stängs ASWebAuthenticationSession så fort den ser appens callback-URL, vilket gör att systemdialogen "Spara lösenord" försvinner direkt efter en lösenordsinloggning.
Skicka den nya inloggningsparametern confirm_redirect_policy=password för att visa en "Fortsätt"-sida efter att användaren angett sitt lösenord. Sidan återvänder till appen först när användaren väljer "Fortsätt", så dialogen stannar kvar på skärmen. Utan parametern omdirigerar Logto tillbaka direkt som tidigare.
Guiden för Swift-integration i Konsolen visar hur du använder det. Se Behåll iOS-dialogen för Spara lösenord.
När personliga åtkomsttoken är aktiverade i Account Center kan användare skapa, byta namn på och återkalla sina egna token på sidan Säkerhet i Account Center. Varje token visas bara en gång vid skapandet och upphör att gälla inom 365 dagar.
Samma åtgärder finns tillgängliga via Account API under /api/my-account/personal-access-tokens, med den nya urn:logto:scope:personal_access_tokens scope.
mfa.required via Management API. Användaren måste ställa in MFA vid nästa inloggning, oavsett organisationens MFA-policy.$5$ och $6$) lösenordshashar med Legacy-lösenordsalgoritmen.access_denied när inloggning avbryts: Om samtyckessidan avbryts eller en direkt inloggning misslyckas återförs nu användaren till klientappen med access_denied. Anpassade inloggningsupplevelser kan avsluta en interaktion på samma sätt med POST /api/experience/abort.login_hint för Account Center: Lägg till login_hint till valfri Account Center-URL för att förifylla identifieraren när användaren måste logga in.staticAttributes i Management API.same-origin-allow-popups eller same-origin under Konsol > Inloggningsupplevelse > Branding > Bygg din UI. Standard är att ingen header skickas, så appar som öppnar inloggning i en popup fortsätter att fungera.GET /api/users accepterar en upprepningsbar customData query-parameter, till exempel customData={"customId":114514}.GET /api/organizations accepterar en jitEmailDomain query-parameter som returnerar de organisationer en användare med den e-postdomänen skulle provisioneras till.hasPassword för organisationsmedlemmar: GET /api/organizations/:id/users visar nu om varje medlem har ett lösenord satt.deliveryId: Varje webhook-payload innehåller nu ett deliveryId som är konstant över omförsök, så mottagare kan behandla varje leverans exakt en gång. Det är också ID för leveransens granskningsloggpost.Den här utgåvan innehåller säkerhetsfixar inom MFA, social och företagsinloggning, Account API och Logto Tunnel.
Range-förfrågningar vid leverans av statiska filer.Se v1.46.0 release notes för alla detaljer.
502 connector.social_provider_unreachable, en nekad auktorisation returnerar 401 connector.authorization_failed och connector-fel visar leverantörens faktiska meddelande istället för {}.scope-värden: Förfrågningar om refresh tokens från klienter som OpenAI Codex som skickar en scope med inledande blanksteg misslyckas inte längre med invalid_scope, så användare förblir inloggade.customClientMetadata-nycklar, så stavfel likt refreshTokenTtlInDay slinker inte längre igenom tyst.o365role bär nu användarens värde istället för en bokstavlig platshållare.expires_in som en sträng och scope som en array i token-svar. Patreon-connectorn flyttar till Patreon API v2, så Patreon-inloggning fungerar igen.Cannot find 'client' in scope. (Tack till @timokoethe).logto db alteration deploy) efter uppgradering och innan du startar den nya versionen./console-begäran inte matchar någon konfigurerad admin endpoint, vilket hjälper till att hitta felkonfigurerad ADMIN_ENDPOINT.Tack till communitymedlemmarna vars arbete kom med i denna utgåva:
deliveryId (#9882), hasPassword för organisationsmedlemmar (#9883), organisationsfilter på just-in-time-provisioneringsdomän (#9912), validering av customClientMetadata-nycklar (#9931), tydligare fel för social inloggning (#9879, #9880), databasanslutningsförsök (#9881, #9928), och hantering av connector-förfrågningsfel (#9849)ADMIN_ENDPOINT (#9408)Redo att uppgradera? Kolla in vår uppgraderingsguide för steg-för-steg-instruktioner.
För den kompletta listan över ändringar, se GitHub-releasesidan.
Har du frågor eller feedback? Gå med oss på Discord eller skapa ett ärende på GitHub.