อัปเดต Logto เดือนกุมภาพันธ์ 2023

💥 การเปลี่ยนแปลงที่มีผลกระทบ 💥#

• core: ลบ API GET /settings และ PATCH /settings
• core: เพิ่ม API GET /configs/admin-console และ PATCH /configs/admin-console
  • API /configs/* ตอนนี้เกี่ยวข้องกับ config/key โดยเฉพาะ อาจมีตรรกะต่างกันตาม key
• core: ลบ API /session ที่เลิกใช้งานทั้งหมดอย่างเป็นทางการ
• core: ใช้ HTTP/2 เพื่อให้บริการการเชื่อมต่อ TLS (HTTPS)
• cli: เปลี่ยน key ที่ใช้งานได้ของ logto db config โดยการลบ alterationState และเพิ่ม adminConsole เนื่องจาก:
  • การตั้งค่า OIDC และ admin console เป็นการตั้งค่าระดับ tenant (สามารถเพิกเฉยแนวคิดของ "tenant" จนกว่าเราจะประกาศอย่างเป็นทางการ)
  • สถานะแก้ไขยังคงเป็นการตั้งค่าระบบทั่วๆ ไป
• สำหรับการเข้าถึงแอปพลิเครชั่น Machine to Machine ผู้ดูแลต้องเพิ่ม scope all ให้กับการตั้งค่า client เพื่อดึง Access Token ที่เหมาะสม
• ดู 🚝 Interact with Management API สำหรับรายละเอียดเพิ่มเติม

🔒 การควบคุมการเข้าถึงตามบทบาท#

เรารู้สึกตื่นเต้นที่จะนำเสนอการเพิ่มเติมใหม่ล่าสุดของเราในผลิตภัณฑ์นี้ การควบคุมการเข้าถึงตามบทบาท (Role-Based Access Control - RBAC) ฟีเจอร์ที่ทรงพลังนี้ทำให้ผู้ดูแลสามารถกำหนดบทบาทและสิทธิ์เฉพาะให้กับผู้ใช้ เพื่อให้มั่นใจว่าพวกเขามีการเข้าถึงแหล่งข้อมูลและฟังก์ชั่นเพียงที่จำเป็นสำหรับการทำงานของพวกเขา

ด้วย RBAC ผู้ดูแลสามารถ:

• กำหนดสิทธิ์ใน API ต่าง ๆ
• สร้างบทบาทที่ปรับแต่งได้พร้อมสิทธิ์ที่เฉพาะเจาะจง
• กำหนดบทบาทให้กับผู้ใช้และจัดการบทบาทของพวกเขา
• จัดการและอัปเดตสิทธิ์ได้อย่างง่ายดาย
• ตรวจสอบสิทธิ์อย่างปลอดภัย เพื่อปกป้อง API

Logto ยกระดับความปลอดภัยและการควบคุมด้วยการจัดการการเข้าถึงและการอนุญาตของข้อมูลที่ละเอียดอ่อนได้อย่างง่ายดาย เพื่อให้มั่นใจว่ามีเพียงผู้ใช้ที่ได้รับอนุญาตเท่านั้นที่มีสิทธิ์เข้าถึง สิ่งนี้สอดคล้องกับวิสัยทัศน์ของเราที่จะให้บริการโซลูชันการระบุตัวตนแบบโอเพ่นซอร์สที่เต็มไปด้วยฟีเจอร์สำหรับการพิสูจน์ตัวตนและการอนุญาต รวมถึงฟีเจอร์ทั้งหมดที่คุณต้องการ

ตรวจสอบ สูตร RBAC ของเราสำหรับคำแนะนำแบบเป็นขั้นตอน ลองใช้ดูและบอกให้เรารู้ว่าคุณคิดอย่างไร!

🏄 กระบวนการเข้าสู่ระบบทางสังคมที่เป็นระเบียบ#

💡 ตอนนี้ Logto ตรวจจับอีเมล (หรือเบอร์โทรศัพท์) ที่เชื่อถือได้จากบัญชีโซเชียลระหว่างการเข้าสู่ระบบทางสังคม

• หากอีเมล (หรือเบอร์โทรศัพท์) ได้ลงทะเบียนไว้แล้ว: เชื่อมต่อข้อมูลส่วนตัวกับบัญชีผู้ใช้งานที่มีอยู่แล้วโดยอัตโนมัติด้วยการคลิกเพียงครั้งเดียว
• หากอีเมล (หรือเบอร์โทรศัพท์) ยังไม่ได้ลงทะเบียน: ซิงค์โปรไฟล์ผู้ใช้กับอีเมล (หรือเบอร์โทรศัพท์) ที่ให้มาโดยอัตโนมัติเมื่อและเฉพาะเมื่อมันถูกทำเครื่องหมายว่าเป็นโปรไฟล์ผู้ใช้ที่จำเป็นเท่านั้น

🔢 ส่งและตรวจสอบรหัสยืนยันผ่าน Management API#

API การจัดการใหม่นี้ช่วยให้คุณสามารถใช้งานตัวเชื่อมต่อเพื่อส่งและตรวจสอบรหัสยืนยันสำหรับวัตถุประสงค์ต่าง ๆ ได้อย่างไดนามิก เช่น การตรวจสอบตัวตนก่อนที่ผู้ใช้จะอัปเดตโปรไฟล์ของพวกเขาหรือดำเนินการใดที่อาจเป็นอันตราย

• เรียก /api/verification-code เพื่อส่งรหัสยืนยันไปยังอีเมลหรือโทรศัพท์ที่กำหนด
• เรียก /api/verification-code/verify เพื่อตรวจสอบรหัสเทียบกับอีเมลหรือโทรศัพท์ที่กำหนด

↩️ ย้อนกลับสถานะแก้ไขฐานข้อมูล#

ในกรณีที่เกิดปัญหากับฐานข้อมูล คุณสามารถใช้คำสั่ง logto db alteration rollback [target] เพื่อนำโครงสร้างฐานข้อมูลทั้งหมดกลับไปใช้เวอร์ชันก่อนหน้า ตัวอย่างเช่น logto db alteration rollback v1.0.0-beta.19.