Logto 产品更新

Logto v1.46.0 推出了用于敏感操作的 OIDC 阶段性提升认证、以太坊登录、保留 iOS "保存密码" 提示的方法、Account Center 的自助式个人访问令牌，以及极验验证码、SAML 静态属性和一轮安全加固。以下是此次更新的新内容。

OIDC 阶段性提升认证#

应用现在可以要求在执行敏感操作前进行最近或更高强度的登录，使用标准 OIDC 参数。

• 请求和验证：在授权请求中传递 acr_values 和 max_age，然后从 ID 令牌、访问令牌和自省响应中读取 acr、amr 和 auth_time。支持的 ACR 值会在发现文档中公布。
• 集成于 Account Center：Account Center 现在通过最新的一方访问令牌授权敏感的 Account API 操作。如果登录不够新鲜，Account API 会以 RFC 9470 阶段性提升验证进行响应。
• 可配置窗口：你可以在 控制台 > 登录体验 > Account center > 最近认证 （默认 10 分钟）设置登录必须达到的时间。客户端仍可通过 max_age 请求更短窗口。
• 向后兼容：直接调用 Account API 的应用可以像以前一样为敏感操作继续使用验证记录 ID。

设置和详情见 阶段性提升认证指南。

以太坊登录#

全新的以太坊钱包社交连接器（@logto/connector-siwe）允许用户用 EVM 钱包登录。拥有浏览器钱包（注入的 EIP-1193 提供方）的用户无需离开登录页即可签署一次性的以太坊登录（EIP-4361）消息。一个地址适用于所有支持的 EVM 链，管理员可以限制允许的链 ID。

保留 iOS 保存密码提示#

在 iOS 上，ASWebAuthenticationSession 一旦检测到应用的回调 URL 就会关闭，这会导致系统的“保存密码”提示在密码登录后立刻消失。

传递新的登录参数 confirm_redirect_policy=password，用户输入密码后会出现“继续”页面。只有用户点击“继续”后才会返回至应用，因此提示会一直保留在屏幕上。不传递该参数，Logto 会像以前一样立刻跳转回去。

控制台中的 Swift 集成指南展示了具体用法。详见 保留 iOS 保存密码提示。

自助式个人访问令牌#

启用 Account Center 的个人访问令牌后，用户可在 Account Center 的 安全 页面创建、重命名和撤销自己的令牌。每个令牌只在创建时展示一次，并在 365 天内过期。

同样的操作可通过 Account API /api/my-account/personal-access-tokens 完成，需新 scope urn:logto:scope:personal_access_tokens。

登录与用户管理#

• 极验验证码：极验验证码 v4 现已可用，路径为 控制台 > 安全 > 验证码。非常适合面向中国大陆的登录体验，在那里 Google reCAPTCHA 经常无法访问。
• 强制用户设置 MFA：在用户详情页开启 强制 MFA 设置，或通过管理 API 设置 mfa.required。无论组织级 MFA 策略如何，用户下次登录时必须设置 MFA。
• 解锁用户：用户详情页新增解锁操作，一次性清除该用户 ID、主邮箱、主手机号和用户名的登录及安全验证锁定。
• SHA-crypt 密码导入：用 Legacy 密码算法导入携带 SHA-crypt（$5$ 与 $6$）哈希的用户密码。
• 登录被取消时的 access_denied：取消同意页或直接登录失败时，现在会带 access_denied 返回用户至客户端应用。自定义登录体验也可通过 POST /api/experience/abort 以同样方式终止交互。
• Account Center 的 login_hint：为 Account Center 的任意 URL 添加 login_hint，以便在需要用户登录时预填用户标识。

SAML、UI 自定义与管理 API#

• SAML 静态属性：每个 SAML 断言可以发送固定的属性值，如账号或站点 ID。你可在 SAML 应用的属性映射页的 静态属性 区域进行配置，或通过管理 API 的 staticAttributes 字段。
• UI 自定义的跨源相关策略：在 控制台 > 登录体验 > 品牌 > UI 自定义 下选择 same-origin-allow-popups 或 same-origin。默认不发送头部，因此以弹窗打开登录的应用依旧正常工作。
• 按自定义数据搜索用户：GET /api/users 接受可重复的 customData 查询参数，例如 customData={"customId":114514}。
• 按即时预配域查找组织：GET /api/organizations 接受 jitEmailDomain 查询参数，返回具有该邮箱域的用户会被预配到的组织。
• 组织成员的 hasPassword：GET /api/organizations/:id/users 现在会显示每个成员是否设置了密码。
• Webhook 的 deliveryId：每个 webhook 负载现在都会携带一个在重试时保持不变的 deliveryId，可确保每份推送只处理一次。同时也是该推送的审计日志 ID。

安全加固#

本次版本在 MFA、多种社交与企业登录、Account API 及 Logto Tunnel 等方面加强了安全性。

• 需要操作：OAuth 2.0 和 Azure AD 连接器的邮箱同步：标准 OAuth 2.0 社交连接器添加了 关闭邮箱同步 开关，与 Microsoft Azure AD 连接器一致。仅升级不会影响现有连接器行为，请逐个检查所有 OAuth 2.0 和 Azure AD 社交连接器，当提供方无法保证邮箱归属验证时要手动开启该开关。
• Apple 登录：Apple 连接器现仅取 Apple ID 令牌中的邮箱，若 Apple 标记邮箱为未验证则不会返回邮箱。
• 多因素认证：用户级和组织级 MFA 要求现在相对于账户设置具有更高优先级（即使账户设置关闭或跳过 MFA），且 MFA 验证被绑定到创建时的账户。
• 企业单点登录：SAML 连接器仅在断言中的受众完全匹配连接器的 受众 URI（SP 实体 ID） 时认同断言。新增设置可控制 SSO 连接器的名称和 logo 是否在邮箱域匹配前出现在登录页。
• Account API 与第三方应用：检索已存储的社交或企业 SSO 提供方令牌，以及读取备份码、会话、授权和受信任设备，现在只允许一方应用进行操作。
• 更多加固：授权码、设备码、推送授权请求和一次性令牌现严格单次使用。连接器请求错误被精简为名称、代码和消息后才记录和返回。格式错误的 SAML 请求将以 400 拒绝。Logto Tunnel 在服务静态文件时会解析软链接并限制 Range 请求。

详情请参考 v1.46.0 发布说明。

其他改进与修复#

• 老版 Safari 和 iOS：在早于 16.4 的 iOS 和 Safari 版本上登录页不再空白。
• 更清晰的社交登录错误：服务不可达时现在返回 502 connector.social_provider_unreachable，授权被拒绝返回 401 connector.authorization_failed，且连接器错误会显示实际的服务方信息而不再是 {}。
• 带空格的 scope 值：像 OpenAI Codex 这样在刷新令牌请求中发送前导空格的 scope 的客户端不再因 invalid_scope 失败，用户登录状态保持。
• 应用元数据校验：创建或更新应用时，不认识的 customClientMetadata 键将被拒绝，像 refreshTokenTtlInDay 这样的拼写错误不会再悄然通过。
• 分页链接：列表接口的分页链接现在可保留所有重复查询参数值。
• SAML 属性占位符：类似 o365role 的映射属性将带上用户的实际值，而不是字面占位符。
• 连接器修复：标准 OAuth 2.0 与 OIDC 连接器现在支持令牌响应中的 expires_in 为字符串、scope 为数组，Patreon 连接器迁移至 Patreon API v2，Patreon 登录重新可用。
• 控制台与 Account Center：组织查询支持应用访问控制规则，分配权限时可完整展示 API 资源名，隐藏品牌时 Account Center 加载期间不再闪现“Powered by Logto”。
• Swift 集成指南：代码示例现统一使用一致的客户端名，修复了 Cannot find 'client' in scope 错误。（感谢 @timokoethe）

给自托管用户的提示#

• 升级前请检查：请查阅 安全加固 章节的 OAuth 2.0 和 Azure AD 邮箱同步、SAML 断言受众、第三方 Account API 相关变更。
• Node.js 26：官方 Docker 镜像现基于 Node.js 26。Logto 支持 Node.js 22、24、26，最低版本分别为 22.23.4、24.22.1 和 26.12.1。
• 需要数据库迁移：升级后请先运行数据库变更命令（logto db alteration deploy）再启动新版本。
• 更鲁棒的启动：Core 和 CLI 的数据库命令在 DNS 失败时会重试数据库连接，不再立即退出。
• 管理端口警告：Logto 现在在 /console 的请求未命中任何已配置管理端口时记录警告，以帮助你发现配置错误的 ADMIN_ENDPOINT。

贡献者#

感谢以下社区成员在本次发行所作贡献：

• @nicolaj0：webhook deliveryId (#9882)，组织成员的 hasPassword (#9883)，即时预配域组织筛选 (#9912)，customClientMetadata 键校验 (#9931)，更清晰的社交登录错误 (#9879, #9880)，数据库连接重试 (#9881, #9928) 和连接器请求错误处理 (#9849)
• @RaphaelFakhri：分页链接中的重复查询参数 (#9811)（首次贡献）
• @mvanhorn：ADMIN_ENDPOINT 不匹配警告 (#9408)
• @timokoethe：Swift 集成指南修正 (#9788)

快速开始#

准备升级了吗？请查阅我们的 升级指南 获取分步流程。

完整变更列表见 GitHub 发布页。

有任何问题或反馈？欢迎加入我们的 Discord 或在 GitHub 提交 issue。