Мы планируем перенести Topicbox на собственный экземпляр Discourse, который будет максимально открытым, но при этом мы хотим избежать проблем со спамом, взломами и т. д. Мы намерены разрешить аутентификацию через Google, GitHub и несколько других провайдеров.
В интернете встречаются разные мнения по этому вопросу, включая риски включения аутентификации через Discourse ID. Поэтому я хочу узнать, какова текущая общепринятая точка зрения на разрешение входа с использованием Discourse ID? Перевешивают ли преимущества потенциальные недостатки/риски, или всё так плохо, как показывают результаты поиска в Google? Являются ли риски, связанные с Discourse ID, более значительными, чем при разрешении входа через вышеупомянутые источники?
Перечисленные риски — это в основном то, что люди называют «галлюцинациями».
Несоответствие репутации: Уровни доверия (TL0–TL4), полученные на других форумах, могут не соответствовать стандартам вашего сообщества, что потенциально может предоставить внешним пользователям права на публикацию или модерацию, которые они не заработали локально.
Discourse ID так не работает.
Зависимость от данных: Вы полагаетесь на внешние серверы или сети для проверки подлинности. Если удаленный провайдер входа испытывает перебои в работе или изменяет правила своего API, ваши пользователи могут потерять доступ.
То же самое верно для любого социального входа.
Цепочка уязвимостей: Позиция безопасности вашего сайта становится зависимой от самого слабого участника или центрального провайдера удостоверений. Если внешний партнерский сайт будет скомпрометирован, злоумышленники могут использовать эти учетные записи для доступа к вашему экземпляру.
Discourse ID построен на базе Discourse, то есть того же программного обеспечения, которое будет использовать ваше сообщество.
Распространение захвата аккаунта: Если пользователь использует слабый пароль или становится жертвой утечки учетных данных на удаленном партнерском сайте, это скомпрометированное состояние может напрямую повлиять на процесс аутентификации вашего форума.
Это бессмысленно.
Используйте Discourse ID, если хотите получить множество социальных вариантов входа без каких-либо усилий. Не используйте его, если хотите точно контролировать, какие методы пользователи могут использовать для входа на ваш сайт.
