简体中文
Logto 产品更新
Logto v1.38.0 已发布。本次版本带来了对 OAuth 2.0 设备授权模式的支持、Passkey 免密登录、自适应多因素认证 (MFA)、会话和授权管理，以及对开源部署更灵活的 OIDC 配置。
Charles
Developer
Developer
Logto v1.38.0 已发布。本次版本带来了对 OAuth 2.0 设备授权模式的支持、Passkey 免密登录、自适应多因素认证 (MFA)、会话和授权管理，以及对开源部署更灵活的 OIDC 配置。
我们很高兴地宣布 Logto v1.38.0 —— 这是我们 2026 年 3 月的版本更新！本次更新为输入受限的应用新增了设备流，推出了 Passkey 免密登录、自适应 MFA 优化，并在 Logto 全面扩展了会话、授权及租户级配置的管控能力。
本次版本的最大亮点之一就是对 OAuth 2.0 设备授权授权模式的支持。这大大简化了在没有全键盘或浏览器体验的设备（如智能电视、命令行工具、游戏主机、物联网设备）上构建认证流程。
使用设备流，用户可以：
我们还为设备流应用增加了完整的 Console 支持。你现在可以通过原生应用下选择 输入受限应用 / CLI 创建设备流应用，或者在手动创建应用时选择 设备流 作为授权模式。应用设置页还集成了新手指引和演示，助你快速上手。
本次新版引入了 Passkey 免密登录作为 Logto 的主流认证方式。
使用 Passkey 登录可以为回访用户带来更快、更安全且无密码的体验，并进一步提升账号安全。它支持 Face ID、Touch ID 和 Windows Hello 等主流平台认证器。
我们支持了多种基于 Passkey 的用户登录流程：
更多详细信息可参见我们的 Passkey 登录文档。
本次版本在现代化 MFA 体验方面持续加码，包含两项重大升级。
Logto 已支持自适应 MFA。启用后，登录流程会根据当前登录上下文评估自适应 MFA 规则，满足条件时要求额外 MFA 验证。
同时涵盖：
context.interaction.signInContextPostSignInAdaptiveMfaTriggered webhook 事件对于不强制要求配置 MFA 的用户，Logto 现可在凭证验证后显示专属引导页，主动询问用户是否要开启 MFA 以提升安全。
这对于配合 Passkey 登录尤其实用，用户可选择单独用 Passkey 登录，也可以额外激活 MFA 双重保护。
本次版本为账户和管理侧带来了一组围绕用户会话和授权应用的重大新功能。
Logto 现已支持在账户 API 和管理 API 中进行会话管理。你可以列出活跃会话、查看会话详情，并根据需要撤销会话与授权。
我们还引入了：
session 权限（含 off, readOnly, edit 选项）urn:logto:scope:sessions在 Console 侧，用户详情页新增了 活跃会话 区块及可撤销的会话详情页。
Logto 现可在账户及管理 API 中列举和撤销用户应用授权。
此外，Console 用户详情页增加了 已授权第三方应用 区块。管理员可查看当前激活的第三方授权、关联元数据（如应用名、创建时间），并直接在界面上撤销访问权限。
应用现支持在 customClientMetadata 中配置 maxAllowedGrants，以限制某一用户对该应用的最大活跃授权数。一旦超过指定数量，Logto 会自动撤销最早的授权记录。
Console 也新增了 并发设备数限制 区块，由你可视化配置。
对于开源用户，本次版本让 OIDC 设置更加灵活易用。
你现在可以直接在 logto-config 文件中定义 oidc.session.ttl，自定义 OIDC 提供方的会话生存期（单位：秒）。如未设置，默认仍为 14 天。
我们还增加了：
GET /api/configs/oidc/sessionPATCH /api/configs/oidc/session在 Console 侧，开源用户新获 租户 -> 设置 页面，并以 OIDC 设置 标签页取代原有签名秘钥页。新页面还包含 会话最大生存期 字段（单位：天）。
如你在使用开源版，记得在更改配置后重启服务以加载新的 OIDC 设置。如需配置变更后自动生效，可考虑开启 中心化 Redis 缓存。
开箱即用的账户中心本次也获得了若干实用优化。
用户现在可以：
/authenticator-app/replace 路由替换认证器应用identifier url 参数提前填写标识信息ui_locales url 参数覆盖内置语言我们还优化了密码表单，更好兼容浏览器自动填充与密码管理器。
为方便团队批量迁移用户，本次 GET /users 和 GET /users/:userId 接口支持了 includePasswordHash 查询参数。开启后，接口数据将包含 passwordDigest 和 passwordAlgorithm，助力涉及原始密码哈希数据的迁移流程。
我们还支持了用于服务到服务间委托场景的 Access Token 交换。Logto 现在支持标准的 urn:ietf:params:oauth:token-type:access_token，可把 opaque 或 JWT 类型的 Access Token 交换为不同 Audience 的新 Token。
本次版本还带来多项稳定性与兼容性提升：
findByUid 及 findByUserCode 的查询现已采用字面 JSONB 键，提升数据库表达式索引在通用计划下的性能。hex: 前缀的 PBKDF2 salt 值，便于用户导入。To 格式现已规范化，非 E.164 号码也会强制加 + 前缀。本次版本的连接器工具包包含破坏性变更：
已长期弃用的 mockSmsVerificationCodeFileName 导出自 @logto/connector-kit 中移除。
我们还调整了模拟连接器用于存储发送消息记录的路径：
/tmp/logto_mock_email_record.txt -> /tmp/logto/mock_email_record.txt/tmp/logto_mock_sms_record.txt -> /tmp/logto/mock_sms_record.txt如果你的本地或 Docker 流程依赖旧路径，请及时更新。
感谢以下新贡献者对 Logto 的优化和完善：
准备升级了吗？欢迎查看我们的 升级指南 获取详细步骤。
所有变动详见 GitHub 发布页。
有疑问或建议？欢迎加入我们的 Discord 社区 或在 GitHub 反馈。