Disallow anonymous users from viewing image & file URLs

貢献 特徴
21

Wonderful!

@mbcahyono could you please create a new topic for the plugin in plugin?

「いいね！」 3
22

The Discourse Images Guardian plugin no longer works with the latest Discourse beta — you can’t set a URL for the logos any more so all images now require authentication, this results in the site logos returning 404’s for non-authenticated users, I have opened an issue for this on GitHub to see if we can find a way to solve this.

23

The Discourse Images Guardian has been updated by @mbcahyono so it now works with the latest Discourse beta, I have deployed it to a couple of servers running v2.3.0.beta1 :slight_smile:.

「いいね！」 4
24

The Discourse Images Guardian plugin doesn’t currently work with the latest Discourse v2.3.0.beta5, I have had to disable it on a couple of sites. I have raised an issue for this on GitHub and hopefully @mbcahyono will have a suggestion for a fix for this soon.

「いいね！」 2
25

本日、S3 アップロードが有効になっている場合のみ利用可能な新しい「セキュアメディア」設定の社内テストを開始しました。この設定により、以下の変更が行われます。

  • 「ログイン必須」設定が有効な Discourse インスタンスでは、すべてのアップロードがセキュアとみなされますが、この設定が無効な場合は、プライベートメッセージのアップロードのみがセキュアとみなされます。
  • ポストやプライベートメッセージ内のセキュアにアップロードされたメディアの URL は、ファイルに直接リンクするのではなく、まずサイト設定に基づいてメディアへのアクセス権限を判定するエンドポイントを経由するようになります。
  • メール内のセキュアメディアは、プレースホルダーテキストに置き換えられ、ユーザーに Discourse インスタンスにログインしてメディアを表示するよう促します。
  • 一度セキュアなコンテキストで使用されたアップロードは、公開トピックに再投稿することを許可しません。

この設定は現在、セルフホスト型の Discourse インスタンスでのみ利用可能です。社内テストが完了次第、さらに詳細な更新情報をお知らせします。

「いいね！」 14
26

これのデメリットは何ですか？パフォーマンスに影響はありますか？

27

投稿やプライベートメッセージ内のメディアの URL は、単に Discourse サーバーの URL に置き換えられ、その後、アップロードされたプライベートな S3 URL が提供されます。

「いいね！」 2
28

ここで補足します。

欠点は、プライベートなコンテンツに対して CDN を使用できなくなり、すべての画像の要求やダウンロードが、ユーザーのバケットのロックを解除するためにアプリを経由して「パイプ」される必要があることです。

小規模な内部フォーラムでは、影響に気づくことはまずありません。しかし、ログインが必要な大規模なフォーラムでは、CDN を放棄してアプリ経由でリクエストを処理することにより、何らかの影響が出る可能性があります。

「いいね！」 6
29

Image Guardian プラグインは最新の Discourse で動作しません。GitHub で issue を起票しました。

Secure uploads オプションの使用を検討しましたが、S3 の使用が必要となり、問題のフォーラムでは S3 は使用されていません。そのため、このプラグインは引き続き必要であり、@mbcahyono さんが解決できることを願っています… :crossed_fingers:

30

@chrisc こちらはホリデーシーズンなので、来週確認します :slight_smile:

「いいね！」 1
31

素晴らしいですね、@mbcahyonoさん、楽しいホリデーを！ :slight_smile:

32

@chrisc

これで再構築エラーが修正されるはずです。ただし、実際の機能はまだテストできていません。

「いいね！」 1
33

素晴らしいです @mbcahyono インストールしてテストしましたが、問題ありません :slight_smile: 再度ありがとうございます！

「いいね！」 1
34

@mbcahyono ユーザーがアップロードしたアバターアイコンも、表示にCookieが必要な画像として保護することは可能でしょうか？

URLパスは /user_avatar/$DOMAIN_NAME/$USER_NAME/$NUNBER/$ANOTHER_NUMBER.png のようになっています。