SmartAuth 2.0.58: przechwycone sesje przerywane i wylogowania propagowane do usług

Przechwycona sesja jest przerywana w całości

Token odświeżania służy tylko raz: przy każdym odnowieniu, SmartAuth wydaje nowy, powiązany z poprzednim. Jeśli stary token zostanie ponownie przedstawiony, SmartAuth uznaje to za przechwycenie i unieważnia całą rodzinę.

To unieważnienie obejmowało tylko jeden poziom w łańcuchu odnowień. Po dwóch odnowieniach lub więcej, najnowszy token, ten używany przez bieżącą sesję, pozostawał ważny wraz ze swoim tokenem dostępu. Unieważnienie przechodzi teraz przez całe potomstwo.

Połączone usługi poznają każde unieważnienie

Usługi połączone przez SSO same weryfikują tokeny dostępu i dowiadują się o unieważnieniu tylko z listy, którą regularnie sprawdzają w SmartAuth. Kilka ścieżek unieważniało token bez wpisywania go na listę, a usługa akceptowała go jeszcze do czasu jego wygaśnięcia, czyli maksymalnie godziny:

• ponowne użycie tokena odświeżania lub kodu autoryzacji;
• zmiana i resetowanie hasła;
• wylogowanie OIDC, wylogowanie ze wszystkich sesji i unieważnienie sesji ze strony konta;
• usunięcie konta przez jego właściciela;
• unieważnienie żądane przez klienta zgodnie z RFC 7009.

Publikacja odbywa się teraz w jądrze funkcji unieważniania, wraz z powodem, a nie w każdym wywołującym: nowa ścieżka unieważniania nie może jej pominąć. Moduły, które już publikowały swoje unieważnienia, jak capsso przy zamknięciu umowy, nadal działają bez zmian.

Aktualizacja

Zastąp folder modułu; nie jest wymagana ponowna aktywacja.