Logto v1.38.0 已經推出。此版本帶來對 OAuth 2.0 裝置授權授權 （Device Authorization Grant） 的支援、通行金鑰登入、自適應多重身份認證（MFA）、工作階段及授權管理，以及對開源部署的 OIDC 設定有更靈活的控制。
我們很高興宣布 Logto v1.38.0，這是我們 2026 年 3 月的版本！這次更新為輸入有限的應用程式新增裝置流程，加入通行金鑰登入及自適應 MFA 改進，並在 Logto 各處擴展了工作階段、授權和租戶層級設定的控制。
本次發佈一大亮點是支援 OAuth 2.0 裝置授權授權（Device Authorization Grant）。這大大降低了建構無法完整使用鍵盤或瀏覽器體驗的裝置（例如智能電視、CLI 工具、遊戲主機、物聯網裝置）的驗證流程難度。
透過裝置流程，使用者可以：
我們亦為裝置流程應用帶來完整的 Console 支援。現在你可以於本地應用（Native apps）下選擇 輸入受限的 app ／ CLI，或在手動建立 app 時選擇 裝置流程 作為授權流程來建立相關應用。應用設定頁同時提供內建指南和示範協助你開始。
本次發佈將通行金鑰登入納入 Logto 的完整驗證方式。
通行金鑰登入可為返回用戶帶來更快、無密碼登入體驗，同時強化帳戶安全。它支援熟悉的平台認證器，例如 Face ID、Touch ID 及 Windows Hello。
我們為各種通行金鑰用戶流程帶來多項支援：
更多資訊，請參閱我們的 通行金鑰登入說明文件。
本次發佈續投資於現代化 MFA 體驗，推出兩大改進：
Logto 現已支援自適應 MFA。啟用後，登入流程會根據當前登入情境套用自適應 MFA 規則，並於規則觸發時需要 MFA。
同時包括：
context.interaction.signInContextPostSignInAdaptiveMfaTriggered webhook 事件針對無需強制開啟 MFA 的用戶，Logto 現會於憑證驗證後顯示專屬的引導頁面，提示他們是否開啟 MFA 增強保護。
這特別適合配合通行金鑰登入，因為用戶可能想先用通行金鑰登入，而未必立即做 MFA 綁定。
此版本在使用者會話及授權應用的帳戶和管理控制上有重大更新。
Logto 現支援於帳戶 API 及管理 API 中管理會話。你可以列出有效會話、檢查細節和回收（撤銷）會話，並可選擇連帶撤銷授權。
同時帶來：
session 權限，可選擇 off、readOnly、editurn:logto:scope:sessions，方便使用帳戶 API 存取會話相關資料Console 側，使用者詳情頁新增 有效會話 部份，以及專屬會話詳情頁，可支援撤銷。
Logto 現支援於帳戶及管理 API 列出及撤銷應用授權。
同時在 Console 用戶詳情頁新增 已授權第三方應用 部份。管理員可見現時活躍的第三方授權、檢視應用名稱及創建時間等元數據，直接於 UI 撤銷存取權限。
應用現可於 customClientMetadata 設置 maxAllowedGrants 值，以限制單一用戶於同一應用可保留多少活躍授權。當超過設定值時，Logto 會自動撤銷最舊的授權。
Console 亦新增 並發裝置上限 配置區，方便視覺化操作。
對 OSS 用戶，本次發佈讓 OIDC 設定更彈性、易於管理。
你現在可於 logto-config 設置 oidc.session.ttl，自訂 OIDC 提供者的會話 TTL （秒）。如未設置則預設為 14 日。
同時新增：
GET /api/configs/oidc/sessionPATCH /api/configs/oidc/sessionConsole 側，OSS 用戶會見到全新 租戶 -> 設定 頁面，並有 OIDC 設定 分頁，取代舊的簽署金鑰頁。新頁同時加設 會話存活最長時間 欄位，方便以日數管理 TTL。
如果你正運行 OSS，記得於設定更動後重啟服務以載入新 OIDC 設定。如想更動能自動生效，可考慮啟用 central Redis 緩存。
即用型帳戶中心在本次發佈亦有多項實用升級：
用戶現在可以：
/authenticator-app/replace 路徑更換認證器 appidentifier URL 參數預先填寫識別碼欄位ui_locales URL 參數覆寫內建語言同時我們改進了密碼表單的瀏覽器自動填充及密碼管理器相容性。
如團隊要遷移用戶進 Logto，GET /users 和 GET /users/:userId 端點現支援 includePasswordHash 查詢參數。啟用時回應會回傳 passwordDigest 及 passwordAlgorithm，便利需要密碼雜湊資料的遷移流程。
我們亦支援在服務對服務授權場境下進行存取權杖交換。Logto 現可按標準 urn:ietf:params:oauth:token-type:access_token 權杖型別，將 opaque 或 JWT 存取權杖交換成不同 audience 的新權杖。
此版本亦帶來多項穩定性及相容性改進：
findByUid 和 findByUserCode 現用 literal JSONB key，方便 prepared generic plans 提升查詢效能。hex: 前綴 PBKDF2 salt，用於用戶匯入。To 格式現會對非 E.164 號碼標準化，確保開頭帶有 +。此版本帶來連接器工具包的重大 API 變更：
早前已棄用的 mockSmsVerificationCodeFileName 輸出已從 @logto/connector-kit 移除。
我們同時更新了 mock 連接器所用訊息紀錄檔案路徑：
/tmp/logto_mock_email_record.txt -> /tmp/logto/mock_email_record.txt/tmp/logto_mock_sms_record.txt -> /tmp/logto/mock_sms_record.txt如果你本地或 Docker 流程依賴舊路徑，記得更新。
感謝新貢獻者協助改進 Logto：
準備好升級了嗎？請參見我們的 升級指南 ，了解逐步教學。
完整更改列表，請見 GitHub 發佈頁。