Mi dispiace molto di dover pubblicare questo problema in modo pubblico, ma ho contattato privatamente l’autore del plugin @kaktak e non ho ricevuto risposta. Si tratta di una questione di sicurezza che può interessare i siti che utilizzano questo plugin, quindi a un certo punto devo informare la community.
Problema di sicurezza: il plugin aggira il login_required a livello di sito, facendo fuoriuscire contenuti che normalmente sarebbero protetti dal login del sito all’interno del file pubblico llms.txt.
Corollario importante: non aggira la sicurezza nella visibilità delle categorie o nei messaggi privati, quindi la situazione non è così grave come potrebbe esserlo!
Il controller del plugin chiama skip_before_action :redirect_to_login_if_required, quindi su un sito con login obbligatorio l’output elenca argomenti che gli utenti anonimi non possono altrimenti visualizzare. Le rotte per categoria e per argomento applicano comunque i controlli di Guardian.
Il mio consiglio per qualsiasi sito con login obbligatorio è di disabilitare questo plugin fino a quando non verrà corretto. So che potrebbero non essere molti i siti interessati, dato che la necessità di un llms.txt e l’impostazione ‘login-required’ sono in gran parte mutuamente esclusive per la maggior parte degli utenti.
Ora che un LLMs.txt generato è stato incluso nel core, in ogni caso la necessità di questo plugin è ridotta.