martin
6 Luglio 2026, 1:59am
11
Noble_Fish:
Mi chiedo se esista una tabella che distingua il significato di questo termine in diversi contesti. Queste differenze sono sia confuse che inquietanti: quando le persone hanno scelto questa impostazione, probabilmente non ne conoscevano il significato reale, quindi vorrebbero verificare le impostazioni correlate. Al momento posso solo controllare singolarmente ogni luogo in cui i gruppi sono impostati e confermare cosa significava in base a chi è stato modificato dopo l’attivazione della funzione di gruppo Granulare, il che sembra come cercare a caso nel buio.
È una buona idea…potrei riuscire a far fare qualcosa all’IA per cercare in tutti i luoghi in cui vengono utilizzate le impostazioni basate sui gruppi e dire se è anche possibile per anonymous accedere a queste cose.
Ci sono un mucchio di impostazioni che già impediscono la selezione del gruppo anonymous_users, quindi quelle sono probabilmente un buon punto di partenza…riporterò qui i risultati.
Ho delle PR per questo su cui sto lavorando ora:
main ← dev/theme-setting-group-setting-membership
merged 11:29PM - 07 Jul 26 UTC
Currently, theme settings with `type: list` and `list_type: group`
require clie… nt-side permission checks, but `currentUser.groups` only
includes visible groups, not all groups the user belongs to. This makes
permission checks unreliable and can leak hidden group membership.
To address this, this commit adds an opt-in `resolve_group_membership:
true` option that replaces the group ID list with a user_in_SETTING_NAME
boolean resolved server-side via `guardian.in_any_groups?`. The original
group list is removed from the frontend payload to prevent leaking group
IDs.
Since theme settings are cached per-theme (not per-user), the resolution
happens after the cache lookup during per-request serialization in
`ApplicationLayoutPreloader#activated_themes_json`.
Example YAML:
```yaml
copy_button_allowed_groups:
type: list
list_type: group
resolve_group_membership: true
default: "1|3"
```
Frontend usage:
```javascript
if (!settings.user_in_copy_button_allowed_groups) return;
```
Ci saranno altre PR e modifiche alla documentazione poco dopo.
3 Mi Piace