Kann ein Nicht-Admin-Benutzer seinen eigenen API-Schlüssel ausstellen?

Ich untersuche dieses Problem.

Das JS wirft einen Fehler aus, da die POST-Methode für /user-api-key einen 403-Statuscode zurückgibt und die build_not_found_page-Methode im Controller die preload_anonymous_data-Methode nicht aufruft, die den vorgehaltenen Wert speichert.

Es ist unklar, warum der Server mit auth_redirect-Parameter eine 403-Antwort mit <h1 class="title">Oops! That page is private.</h1> zurückgab. Ich habe versucht, dieselbe Domain für die Callback-URL (zur Überprüfung von Cross-Site-Scripting-Problemen) und das HTTPS-Protokoll zu verwenden, aber ohne Erfolg.