Logto v1.46.0 geldi. OIDC seviye yükseltme kimlik doğrulaması, Ethereum ile Giriş, iOS Parolayı Kaydet isteminin korunması, self-servis kişisel erişim jetonları ve bir dizi güvenlik güçlendirmesi getiriyor.
Logto v1.46.0, hassas işlemler için OIDC seviye yükseltme kimlik doğrulaması, Ethereum ile Giriş, iOS 'Parolayı Kaydet' isteminin korunmasını, Hesap Merkezi'nde self-servis kişisel erişim jetonları, ayrıca GeeTest CAPTCHA, SAML statik öznitelikler ve bir tur güvenlik güçlendirmesi sunar. İşte yenilikler.
Uygulamalar artık standart OIDC parametrelerini kullanarak hassas işlemlerden önce son zamanlarda veya daha güçlü bir giriş yapılmasını gerektirebilir.
acr_values ve max_age parametrelerini geçin, ardından ID jetonlarından, erişim jetonlarından ve sorgulama yanıtlarından acr, amr ve auth_time değerlerini okuyun. Desteklenen ACR değerleri keşif belgesinde ilan edilir.max_age ile daha kısa bir süre de isteyebilir.Kurulum ve detaylar için Seviye yükseltme kimlik doğrulama rehberine bakın.
Yeni Ethereum Cüzdan sosyal bağlayıcısı (@logto/connector-siwe), kullanıcıların bir EVM cüzdanı ile giriş yapmasına olanak tanır. Tarayıcı cüzdanı olan kullanıcılar (enjekte edilen EIP-1193 sağlayıcı) oturumdan ayrılmadan tek seferlik bir Ethereum ile Giriş (EIP-4361) mesajı imzalar. Bir adres, desteklenen tüm EVM zincirlerinde çalışır ve yöneticiler izin verilen zincir kimliklerini kısıtlayabilir.
iOS'ta, ASWebAuthenticationSession uygulamanın geri çağırma URL'sini gördüğünde hemen kapanır, bu da sistem 'Parolayı Kaydet' isteminin parola girişinden hemen sonra kaybolmasına neden olur.
Yeni confirm_redirect_policy=password giriş parametresini ileterek kullanıcı parolayı girdikten sonra bir 'Devam Et' sayfası gösterin. Kullanıcı 'Devam Et'i seçtiğinde sayfa uygulamaya döner, böylece istem ekranda kalır. Parametre olmadan, Logto eskisi gibi hemen geri yönlendirir.
Konsol'daki Swift entegrasyon rehberi nasıl kullanacağınızı gösterir. iOS Parolayı Kaydet isteminin korunması bölümüne bakın.
Hesap Merkezi'nde kişisel erişim jetonları etkinleştirildiğinde, kullanıcılar Güvenlik sayfasında kendi jetonlarını oluşturabilir, yeniden adlandırabilir ve iptal edebilir. Her jeton sadece oluşturulurken bir kez gösterilir ve 365 gün içinde sona erer.
Aynı işlemler, yeni urn:logto:scope:personal_access_tokens kapsamı ile /api/my-account/personal-access-tokens altında Hesap API'si üzerinden de kullanılabilir.
mfa.required olarak ayarlayın. Kullanıcı, bir sonraki girişinde organizasyon seviyesindeki MFA politikasından bağımsız olarak MFA'yı kurmak zorunda kalır.$5$ ve $6$) parola özetleriyle Legacy parola algoritmasını kullanarak içe aktarın.access_denied giriş iptal edildiğinde: İzin sayfasının iptal edilmesi veya başarısız doğrudan giriş, artık kullanıcıyı istemci uygulamasına access_denied ile döndürür. Özel giriş deneyimleri aynı şekilde POST /api/experience/abort ile bir etkileşimi sonlandırabilir.login_hint: Kullanıcının giriş yapması gerektiğinde tanımlayıcıyı önceden doldurmak için herhangi bir Hesap Merkezi URL'sine login_hint ekleyin.staticAttributes üzerinden yapılandırabilirsiniz.same-origin-allow-popups veya same-origin seçin. Varsayılan olarak başlık gönderilmez, böylece oturum açma işlemini bir açılır pencerede açan uygulamalar çalışmaya devam eder.GET /api/users yinelenebilir customData sorgu parametresini kabul eder, örneğin customData={"customId":114514}.GET /api/organizations bir jitEmailDomain sorgu parametresi alır ve bu e-posta domainli bir kullanıcının yerleştirileceği organizasyonları döndürür.hasPassword: GET /api/organizations/:id/users artık her üyenin parola ayarı olup olmadığını gösterir.deliveryId: Her webhook yükü artık tekrarlar arasında aynı kalan bir deliveryId taşır, böylece alıcılar her teslimatı tam olarak bir kez işleyebilir. Aynı zamanda teslimatın denetim günlük girdisinin kimliğidir.Bu sürümde MFA, sosyal ve kurumsal giriş, Hesap API'si ve Logto Tüneli üzerinde güvenlik düzeltmeleri bulunuyor.
Tüm detaylar için v1.46.0 sürüm notlarına bakın.
502 connector.social_provider_unreachable döner, reddedilen yetkilendirme 401 connector.authorization_failed döner ve bağlayıcı hataları sağlayıcının gerçek mesajını yerine {} gösterir.scope değerleri: OpenAI Codex gibi istemcilerden, başında boşluk olan bir scope ile gelen yenileme jetonu istekleri artık invalid_scope ile başarısız olmaz, böylece kullanıcı oturumu açık kalır.customClientMetadata anahtarlarını reddeder, böylece refreshTokenTtlInDay gibi yazım hataları sessizce geçmez.o365role gibi isimlerle eşlenen öznitelikler artık kullanıcının değerini taşır, yerine doğrudan yer tutucu kullanmaz.expires_in değerini string olarak ve scope değerini dizi olarak kabul eder; Patreon bağlayıcısı, Patreon API v2'ye geçti, böylece Patreon ile giriş tekrar çalışıyor.Cannot find 'client' in scope hatası düzeltilmiştir. (@timokoethe'ye teşekkürler.)logto db alteration deploy) çalıştırın./console isteği yapılandırılan bir yönetici uç noktası ile eşleşmediğinde uyarı loglar, bu da yanlış yapılandırılmış ADMIN_ENDPOINT'i tespit etmeye yardımcı olur.Bu sürümde emeği geçen topluluk üyelerine teşekkürler:
deliveryId (#9882), organizasyon üyeleri için hasPassword (#9883), just-in-time provizyon domaini ile organizasyon filtresi (#9912), customClientMetadata anahtar doğrulama (#9931), daha açık sosyal giriş hataları (#9879, #9880), veritabanı bağlantı tekrarları (#9881, #9928), ve bağlayıcı istek hata yönetimi (#9849)ADMIN_ENDPOINT uyumsuzluk uyarısı (#9408)Yükseltmeye hazır mısınız? Adım adım yönergeler için yükseltme rehberimize göz atın.
Tüm değişikliklerin tam listesi için GitHub sürüm sayfasına bakın.
Sorularınız veya geri bildiriminiz mi var? Bize Discord'da katılın veya GitHub'da bir konu açın.