Что нового в версиях

Изменения по версиям, новые сверху. Как обновиться — Обновление и откат.

0.8.0 — 29 октября 2026

Перед обновлением

• Условия лицензии. В комплекте указана редакция условий (2026-10-15). upgrade.sh покажет её и спросит согласие. При запуске без человека (--yes, cron) добавьте --accept-license, иначе обновление остановится.
• Схема базы. Три новые миграции применяются при обновлении автоматически. Вернуться на 0.7.x можно только с восстановлением базы из бэкапа, который скрипт делает перед миграциями (rollback.sh --to 0.7.6 --restore-db).
• Пользователи будут чаще входить заново. Раньше вход в панель и кабинет жил 30 дней с последнего действия, теперь — 12 часов без действий и не дольше 30 дней от входа. Входы, которые простояли дольше 12 часов, после обновления завершатся при первом обращении. Вернуть прежнее — Настройки → security.session_idle_timeout = 720h (Сроки входа и токенов).
• Панель и кабинет обновляются тем же запуском upgrade.sh, отдельно ставить их не нужно.

Новое

• Сроки входа и токенов — настройками. Простой и предел входа, «запоминать вход после закрытия браузера», срок токена доступа, простой и предел сессий приложений. Значения действуют без перезапуска; снижение срока сразу завершает входы, которые уже его превысили.
• Свои сроки у сервиса и приложения. Сервис задаёт сроки для своих приложений, приложение — для себя; не заданное наследуется от уровня выше. У API (ресурса) — потолок срока токена доступа. В карточках видно, какой срок действует на самом деле (Подключение приложения, Подключение сервиса).
• Срок входа в ответах. Вместе с токенами Identity сообщает, когда вход истечёт и сохраняется ли он после закрытия браузера. Панель и кабинет держат cookie ровно на этот срок: вход больше не теряется раньше времени и не остаётся висеть в Сессиях после выхода из браузера.
• Одновременная правка. Если двое меняют одну запись (приложение, API, внешний вход, сервис, настройку), второй получает отказ «запись уже изменили» вместо молчаливой перезаписи. Панель предлагает повторить сохранение.
• Повтор создания без дублей. Создание пользователя, приложения, API, сервиса и заявок на стирание или выгрузку данных можно безопасно повторить после сбоя сети — повтор вернёт уже созданную запись. Панель делает это сама.

Безопасность

• Refresh-токен подключённого приложения больше нельзя обменять на вход в панель и API Identity. Приложения обновляют токены только через /oidc/token.
• Запросы к внешним LDAP и OIDC-провайдерам ограничены по времени: зависший провайдер не держит вход и не занимает сервер.
• Обновлён Go: закрыты уязвимости стандартной библиотеки.

Исправления

• Восстановление пользователя во время его стирания больше не оставляет учётную запись в промежуточном состоянии.
• Отказы /oidc/authorize содержат пояснение error_description — причина видна в логе приложения (например, Grafana — Если вход не проходит).

Для разработчиков интеграций

• В ответах с токенами — поля session_expires_at и session_persistent.
• POST /api/v1/admin/users, /admin/oauth-clients, /admin/oauth-resources, /admin/services, /privacy/erasure, /privacy/sar принимают заголовок X-Idempotency-Key (UUID на попытку). Без заголовка — как раньше.
• PATCH в админ-API может вернуть 409 VERSION_CONFLICT — повторите запрос.
• Сроки у сервиса, приложения и API — поля access_token_ttl, refresh_idle_timeout, refresh_max_lifetime, max_access_token_ttl и effective_*; неверный срок — 422 INVALID_TOKEN_LIFETIME. Схема — OpenAPI установки (/openapi.yaml).