数据隐私担忧

支持
1

您好，有人报告了一些安全漏洞，我想了解一下。

用户列表：
所有平台用户均可见，但无需身份验证。
https://*domain*/directory_items.json?period=daily&order=posts_read

用户详情：
我们可以在未进行身份验证的情况下获取所有用户的详细信息。
https://*domain*/users/*user*.json

是否有办法限制这种情况，或限制公开可访问的用户详情级别？
我知道如果只允许已登录用户访问，所有这些信息的访问都会被阻止。
如何在保留部分公开信息的同时：

  • 限制获取用户列表（整个数据库）的可能性？
2

在提交上述更改后，在“偏好设置” → “界面”中勾选“隐藏我的公开个人资料和状态功能”选项，可以阻止访问单个用户的 RSS 和 JSON 路由。

image
image612×354 23.8 KB

您还可以取消勾选“启用用户目录”站点设置 :arrow_down:

image
image734×199 13 KB

这有帮助吗？

3

回复非常迅速，谢谢 @rishabh。
我想请您详细说明第一点，因为我并非 RSS/JSON 专家：

  • 我理解只需重新构建即可应用此修复，对吗？
  • “阻止单个用户的 RSS 和 JSON 路由”是什么意思？

此外还有一些补充问题：

  • 是否有选项可以默认勾选“隐藏我的公开个人资料及在线状态功能”？
  • 如果禁用目录，管理员也会被禁用。我认为应该有一种方法可以更细粒度地限制用户目录的访问权限（管理员和版主应始终拥有访问权限）。
  • 我已勾选“向公众隐藏用户个人资料”。但匿名用户仍会收到用户列表，尽管列表有限，但毕竟还是列表。应该有一个选项可以阻止所有匿名用户访问个人信息和列表。（这是否是我在您的修复中遗漏的部分？）