Logto v1.39.0 มาแล้ว นำเสนอการหมุนเวียนคีย์เซ็นลายเซ็นที่ปลอดภัยยิ่งขึ้น การจัดการข้อผิดพลาดของสคริปต์ JWT ที่ฉลาดขึ้น การควบคุมความปลอดภัยของ Account Center ที่ขยายขึ้น การรองรับตัวเชื่อมต่อ WhatsApp และการปรับปรุงความปลอดภัยที่สำคัญ
เรารู้สึกตื่นเต้นที่จะเปิดตัว Logto v1.39.0 ซึ่งเป็นเวอร์ชันที่มุ่งเน้นด้านความปลอดภัยในการปฏิบัติงานที่เข้มแข็งยิ่งขึ้น การปรับแต่งโทเค็นที่ยืดหยุ่นกว่าเดิม และความปลอดภัยของบัญชีผู้ใช้ปลายทางที่ดีขึ้น เวอร์ชันนี้ได้เพิ่มช่วงผ่อนผันสำหรับการหมุนเวียนคีย์เซ็นลายเซ็นส่วนตัว การจัดการข้อผิดพลาดที่กำหนดค่าได้สำหรับสคริปต์ JWT แบบกำหนดเอง หน้าความปลอดภัยใหม่ใน Account Center การรองรับตัวเชื่อมต่อ WhatsApp ผ่าน Meta Cloud API และการปรับปรุงด้านความปลอดภัยและความเสถียรในกระบวนการยืนยันตัวตนหลายจุด
Logto ตอนนี้รองรับช่วงผ่อนผันระหว่างการหมุนเวียนคีย์เซ็นลายเซ็นส่วนตัว
สิ่งนี้สามารถกำหนดค่าได้ผ่าน:
PRIVATE_KEY_ROTATION_GRACE_PERIOD--gracePeriodในช่วงผ่อนผันนี้:
หลังจากช่วงผ่อนผันสิ้นสุดลง:
วิธีนี้จะช่วยให้การหมุนเวียนคีย์เป็นไปอย่างราบรื่นและหลีกเลี่ยงความล้มเหลวของการยืนยันตัวตนที่เกิดจาก JWKS ที่ล้าสมัย
เอกสาร: การหมุนเวียนคีย์เซ็นลายเซ็น
Logto ขณะนี้รองรับการจัดการข้อผิดพลาดแบบกำหนดค่าสำหรับสคริปต์ JWT แบบกำหนดเองที่ใช้ในกระบวนการ Access Token และ Client Credentials
การเปลี่ยนแปลงที่เกี่ยวข้อง:
api.denyAccess() ยังคงส่งกลับเป็นการตอบสนอง access_deniedinvalid_request ด้วยภาษาแปลในพื้นที่blockIssuanceOnError เป็นค่าเริ่มต้นสิ่งนี้ช่วยให้นักพัฒนาสามารถเลือกได้ว่าความล้มเหลวในการปรับแต่ง Token จะทำให้ล้มแบบเปิด (open) หรือปิด (closed) ตามข้อกำหนดด้านความปลอดภัย
การอัปเดตครั้งนี้เพิ่มหน้าความปลอดภัยให้กับ Account Center ที่ติดตั้งมาให้
ผู้ใช้ปลายทางสามารถจัดการความปลอดภัยของบัญชีจาก /account/security ซึ่งรวมถึง:
รองรับผ่าน Console:
มีตัวเชื่อมต่อ WhatsApp ใหม่สำหรับการส่งข้อความผ่าน Meta Cloud API
ช่วยให้สามารถส่ง SMS หรือรหัสยืนยันผ่าน WhatsApp โดยใช้การผสานรวมอย่างเป็นทางการกับ Meta Cloud API
ตอนนี้ API มอบหมายผู้ใช้และบทบาทให้กับองค์กร จะแสดง Response body กลับมา
จุดเชื่อมต่อที่อัปเดต:
POST /organizations/:id/users ขณะนี้ส่งคืน { userIds: string[] } ซึ่งสะท้อน User ID ที่ส่งเข้ามาPOST /organizations/:id/users/:userId/roles ขณะนี้ส่งคืน { organizationRoleIds: string[] } ประกอบด้วย Role ID แบบไม่ซ้ำกันที่กำหนดให้ User รวมถึง ID จากชื่อ Role ที่ส่งมาTheme ของ Console ขณะนี้ได้รวม --color-overlay-primary-subtle ที่ขาดหายไป ทั้งในโหมดสว่างและโหมดมืด
การยืนยันลืมรหัสผ่าน ขณะนี้ส่งคืนข้อผิดพลาด verification_code.code_mismatch เดียวเสมอ
ช่วยป้องกันการระบุบัญชีผ่านการตอบกลับข้อผิดพลาดที่แตกต่างกัน (enumeration)
ปรับปรุงให้ระบบ redirect สำหรับโซเชียลและ SSO ในเบราว์เซอร์ภายในแอป เช่น Instagram, Facebook, และ LINE มีความเสถียรมากขึ้น
เบราว์เซอร์ในแอปบางชนิดจะเปิดหน้าผู้ให้บริการ OAuth ใน WebView ใหม่ ซึ่งค่า sessionStorage อาจสูญหายหลัง redirect กลับ
รุ่นนี้ได้เพิ่ม fallback localStorage ดังนี้:
sessionStorage ตามปกติlocalStorage ด้วยlocalStorage หาก sessionStorage ไม่มีข้อมูลแก้ไขปัญหาที่ IP ที่ร้องขอไม่ถูกส่งไปยังตัวเชื่อมต่อเมื่อส่งรหัสยืนยันตัวตน
ทำให้ตัวเชื่อมต่อสามารถรับบริบท IP ที่ถูกต้องในการจัดส่งรหัสยืนยันตัวตนได้