Logto 產品更新

Logto v1.46.0 帶來了針對敏感操作的 OIDC 漸進式驗證、以太坊登入、iOS "儲存密碼" 提示保持方案，以及 Account Center 的個人存取權杖自助功能，同時包含 GeeTest 驗證碼、SAML 靜態屬性與一輪安全強化。以下是本次更新內容。

OIDC 漸進式驗證#

應用程式現在可以在敏感動作前要求用戶進行最近的或更強驗證，透過標準 OIDC 參數實現。

• 請求與驗證：在授權請求中帶入 acr_values 與 max_age，然後從 ID Token、存取 Token、與披露回應中讀取 acr、amr 和 auth_time。支援的 ACR 值會在 discovery 文件中公告。
• 內建於 Account Center：Account Center 現在使用最新的一方存取權杖來授權敏感的 Account API 操作。當登入時間不夠新時，Account API 會回應 RFC 9470 的 step-up 挑戰。
• 可配置時間窗口：你可以在 Console > 登入體驗 > Account center > 最近驗證（預設 10 分鐘）設置登入需多近。客戶端也能透過 max_age 指定更短時效。
• 向下相容：直接調用 Account API 的應用還可以繼續使用驗證記錄 ID 進行敏感操作。

查看 漸進式驗證指南 瞭解設置方式與詳細說明。

以太坊登入#

全新的以太坊錢包社群連接器（@logto/connector-siwe）讓用戶可以用 EVM 錢包登入。具備瀏覽器錢包（即註入 EIP-1193 提供者）的用戶能直接在登入頁面簽署一次性 Sign-In with Ethereum（EIP-4361）訊息。單一錢包地址可在支援的 EVM 鏈上通用，管理員可以限制允許的鏈別 ID。

保持 iOS 儲存密碼提示#

在 iOS 上，ASWebAuthenticationSession 於偵測到 App 回調網址後就會關閉，導致系統 "儲存密碼" 提示在密碼登入後立刻消失。

帶入新的登入參數 confirm_redirect_policy=password，用戶輸入密碼後會先看到 "繼續" 頁面，只有點選 "繼續" 才返回 App，提示才能留在畫面上。不加此參數時，Logto 會如以往立即返回。

Console 內的 Swift 整合指南展示了使用方式。參見保持 iOS 儲存密碼提示。

個人存取權杖自助管理#

當 Account Center 開啟個人存取權杖功能時，使用者可在 Account Center 安全性頁面自行建立、重新命名及撤銷自己的權杖，每組權杖僅於建立時顯示，效期最長 365 天。

同樣操作也可透過 Account API 的 /api/my-account/personal-access-tokens 實現，需帶入新權限範圍 urn:logto:scope:personal_access_tokens。

登入和用戶管理#

• GeeTest 驗證碼：GeeTest v4 驗證碼現已可在 Console > 安全性 > CAPTCHA 設置。適用於主要面向中國大陸市場的登入體驗，解決 Google reCAPTCHA 經常無法存取的問題。
• 強制啟用 MFA：你可以在用戶詳細頁開啟 強制啟用 MFA，或透過 Management API 設定 mfa.required。接下來該用戶登入時必須啟用 MFA，與組織階層 MFA 設定無關。
• 解鎖用戶：用戶詳細頁新增一鍵解鎖動作，可一次清除用戶 ID、主要信箱、主要電話、用戶名稱的登入與安全驗證鎖定狀態。
• SHA-crypt 密碼匯入：可用 Legacy 密碼演算法匯入 SHA-crypt（$5$ 和 $6$）雜湊的用戶密碼。
• 取消登入回傳 access_denied：無論取消同意頁還是直接登入失敗，現在都會帶著 access_denied 返回用戶端 App。自訂登入體驗也能用 POST /api/experience/abort 以相同方式結束流程。
• Account Center 登入預填：在任一 Account Center 網址加入 login_hint 可預先填入用戶辨識資訊。

SAML、客製化 UI 及 Management API#

• SAML 靜態屬性：每次 SAML 認證皆可傳送固定屬性值（例如帳號 ID、網站 ID）。可在 SAML 應用的屬性對應分頁 靜態屬性 區域，或以 Management API 的 staticAttributes 配置。
• Bring your UI 的跨來源開啟政策：你可在 Console > 登入體驗 > 品牌 > Bring your UI 選用 same-origin-allow-popups 或 same-origin。預設不送出標頭，確保以彈窗開啟登入的 App 繼續運作。
• 以自訂資料篩選用戶：GET /api/users 支援重複帶入 customData 查詢參數，例如 customData={"customId":114514}。
• 依 JIT 網域尋找組織：GET /api/organizations 支援帶入 jitEmailDomain 參數，快速找出擁有該信箱網域自動配發權的組織。
• 組織成員 hasPassword 狀態：GET /api/organizations/:id/users 現在會標示每位成員是否曾設過密碼。
• Webhook deliveryId：每次 webhook 傳送現在都會帶上唯一的 deliveryId（重試傳送一致），方便接收方只處理一次，且作為交付審核日誌的 ID。

安全強化#

本次針對 MFA、社群及企業登入、Account API 及 Logto Tunnel 等多處進行了安全修補。

• 需處理：OAuth 2.0 與 Azure AD 信箱同步：標準 OAuth 2.0 社群連接器加入 停用信箱同步 開關，與 Microsoft Azure AD 連接器行為一致。升級後預設行為不變，請逐一檢查所有 OAuth 2.0 及 Azure AD 社群連接器，若提供者未驗證信箱持有人請將開關打開。
• Apple 登入：Apple 連接器僅從 Apple ID Token 取用戶信箱，且 Apple 標示未驗證時會完全不回傳信箱資訊。
• 多重驗證（MFA）需求：用戶或組織階層 MFA 設定現在比帳號設定（例如 MFA 關閉或略過）優先，且驗證行為只綁定建立時的帳號。
• 企業 SSO：SAML 連接器僅接受與**受眾 URI（SP Entity ID）**完全一致的聲明。新增選項可設定 SSO 連接器名稱與 Logo 是不是在信箱網域符合前就顯示在登入頁。
• Account API 與第三方 App：存取社群/企業 SSO 提供者權杖、讀取備用驗證碼、連線、授權與受信任裝置，現只開放給一方應用。
• 更多強化：授權碼、裝置碼、推送授權請求及一次性權杖現在都只限用一次。連接器請求錯誤僅記錄及返回名稱、代碼與訊息。錯誤格式 SAML 請求會以 400 拒絕。Logto Tunnel 服務靜態檔案時，會處理符號連結並限制 Range 請求範圍。

完整說明請參見 v1.46.0 發布記錄。

其他改善與修正#

• 舊版 Safari 及 iOS：登錄頁在 iOS 與 Safari 16.4 以前版本不再白畫面。
• 社群登入錯誤更明確：無法連線服務商現在回 502 connector.social_provider_unreachable，授權被拒會回 401 connector.authorization_failed，且錯誤內容顯示服務商真實訊息，不會再是 {}。
• 帶空格的 scope 值：像 OpenAI Codex 這種客戶端，在 refresh token 請求時 scope 前帶空格將不會再回 invalid_scope，用戶得以維持登入狀態。
• 應用程式 metadata 驗證：現在建立或編輯應用時會拒絕不明的 customClientMetadata 鍵，像 refreshTokenTtlInDay 拼錯不會再靜悄悄略過。
• 分頁連結：分頁型 API 回傳時，重複查詢參數的每個值都會保留下來。
• SAML 屬性預設值修正：命名如 o365role 的對應屬性現在會帶用戶真實資料，不會再顯示字面預設值。
• 連接器修復：標準 OAuth 2.0 和 OIDC 連接器現在允許 expires_in 是字串、scope 是陣列的 token 回應，Patreon 連接器全面移至 Patreon API v2 修復登入。
• Console 與 Account Center：應用存取權搜尋時可查組織、API 資源名完整顯示於權限分配時，隱藏品牌時 Account Center 載入不再閃現 “Powered by Logto”。
• Swift 整合指南：code 範例統一用同一 client name，修正 Cannot find 'client' in scope 錯誤。（感謝 @timokoethe）

自架用戶須知#

• 升級前請檢查：詳閱 安全強化 段落的 OAuth 2.0/Azure AD 信箱同步、SAML assertion 受眾以及第三方 Account API 調整。
• Node.js 26 支援：官方 Docker 映像已升級至 Node.js 26。Logto 支援 Node.js 22、24、26（最低分別為 22.23.4、24.22.1、26.12.1）。
• 需資料庫遷移：升級後，啟動新版前請執行資料庫遷移指令（logto db alteration deploy）。
• 啟動更穩健：Core 及 CLI 資料庫指令現在若遇到 DNS 失敗會重試，不會立即退出。
• 管理端點警告：Logto 發現 /console 請求找不到對應管理端點時會記警告，避免因 ADMIN_ENDPOINT 配置錯誤導致問題。

貢獻者#

感謝以下社群夥伴參與本次釋出內容：

• @nicolaj0：webhook deliveryId（#9882）、組織成員 hasPassword（#9883）、JIT 網域找組織（#9912）、驗證 customClientMetadata key（#9931）、社群登入錯誤說明（#9879, #9880）、資料庫連線重試（#9881, #9928）、連接器請求錯誤處理（#9849）
• @RaphaelFakhri：分頁連結支援重複查詢參數（#9811）（首次貢獻！）
• @mvanhorn：ADMIN_ENDPOINT 不符警告（#9408）
• @timokoethe：Swift 整合指南修正（#9788）

開始升級#

準備好升級了嗎？請參考我們的升級指南獲取詳細步驟。

完整變更列表請見 GitHub 發布頁。

有任何問題或建議？歡迎加入 Discord 或於 GitHub 留言反饋。