Logto v1.23.0 版本发布：MFA策略定制与安全增强

Logto作为一款开源的客户身份认证与访问管理解决方案，在最新发布的v1.23.0版本中带来了多项重要更新，特别是在多因素认证(MFA)策略定制和OAuth2.0/OpenID Connect安全规范方面进行了显著改进。

MFA策略的灵活配置

在身份认证领域，多因素认证(MFA)是提升账户安全性的重要手段。v1.23.0版本为管理员提供了更细粒度的MFA策略控制能力：

1. 强制MFA模式：启用后，用户在登录过程中必须设置MFA，无法跳过。这一严格模式特别适合对安全性要求高的场景，如金融或医疗应用。若用户未能完成MFA设置或删除了MFA配置，将被锁定账户直至重新设置。

2. 可选MFA模式：提供三种灵活的配置选项：

   • 完全禁用提示：不向用户展示任何MFA设置提示
   • 注册时提示：用户在注册流程中会收到一次性可跳过的MFA设置提示
   • 首次登录提示：用户在完成注册后的首次登录时会收到一次性可跳过的MFA设置提示

这种分层策略设计使企业能够根据自身安全需求平衡用户体验与安全要求。

放宽的Redirect URI限制

在遵循OAuth2.0和OpenID Connect规范的同时，新版本针对实际应用场景做出了以下调整：

1. 混合URI支持：现在允许应用同时配置原生URI(如app://)和HTTP(S) URI。这一改进解决了某些混合应用开发场景中的实际需求。

2. 简化原生URI格式：不再强制要求原生URI必须包含点号(.)，使得如"myapp://callback"这样的URI格式成为可能。

值得注意的是，当配置这类非标准URI时，系统会显示显著警告提示。这一变更完全向后兼容，不会影响现有应用的正常运行。

新增认证连接器

v1.23.0版本扩展了认证方式支持：

1. 小米社交登录：新增对小米账号的OAuth集成，为用户提供更多社交登录选择。

2. 云片短信服务：新增对中国云片短信平台的支持，增强了短信验证码发送能力。

稳定性改进

本次更新修复了CLI工具中获取官方连接器的npm registry API集成问题，提升了开发者体验。

总结

Logto v1.23.0版本通过灵活的MFA策略配置、更宽松的URI限制以及新增的认证连接器，进一步提升了产品的实用性和适应性。这些改进使Logto能够在保持高标准安全性的同时，更好地满足各种实际应用场景的需求，特别是那些需要平衡用户体验与安全要求的复杂环境。