Invite redemption ha permesso all'utente di accedere al forum prima dell'approvazione

Il nostro Forum ha queste impostazioni:

  1. login_required ON
  2. must_approve_users ON
  3. min_trust_level_to_allow_invite 2 : member

Quando testiamo gli inviti al nostro forum, ho notato che:

  1. Quando un utente TL2 invita un altro utente via email e
  2. Cliccano sul link di invito nella loro email e
  3. Compilano i campi e lo inviano

Questo accade → vengono portati direttamente nel Forum (come se fossero pre-approvati) e possono leggerlo a piacimento. Non dovrebbero essere in grado di farlo finché non vengono approvati.

Effettivamente rimangono non approvati. Se provano ad accedere nuovamente al sito, vengono bloccati con il messaggio standard “non sei approvato”.

5 Mi Piace

In effetti, posso riprodurlo su 2.8.0.beta10 ( bbca25e875 )

3 Mi Piace

Posso confermare sul mio sito di test (17ec3bc5b9)

  • È necessario accedere
  • Gli utenti devono essere approvati
  • TL2 può inviare inviti

E il mio invitato ha potuto visualizzare e pubblicare su quella ‘visita di iscrizione’ senza essere approvato.

3 Mi Piace

Questa è una situazione complicata.

Al momento non abbiamo un’implementazione per “Tieni duro, finché qualcuno non approva il tuo account”.

Infatti, non sono sicuro che abbia senso, perché dovresti invitare qualcuno nel forum solo per farlo bloccare.

Direi che la tua soluzione immediata è disabilitare gli inviti su tl2/3… questo almeno chiuderà questa stranezza.

Suppongo che dovremmo, almeno nel frattempo, disabilitare completamente gli inviti per non staff quando must_approve_users è ATTIVO.

@dan cosa ne pensi?

9 Mi Piace

Fatto. Ovviamente, i TL4 avranno ancora il problema, ma in realtà non ne ho nessuno, quindi tutto a posto!

Questo ha senso per me come soluzione permanente.

Sono rimasto un po’ sorpreso che i miei clienti potessero invitare altri!

6 Mi Piace

Sono combattuto su questo perché capisco entrambe le parti. Tuttavia, penso che lo status quo sia un po’ fuorviante perché non tutti gli utenti che si registrano devono essere approvati.

In una certa misura, immagino dipenda dalla community e da quanta fiducia riponi nei tuoi utenti. Forse in futuro must_approve_users potrà essere un menu a tendina: no, sì o se non invitato.

Lo aggiungerò alla mia lista di cose da fare.

6 Mi Piace

Risolto tramite SECURITY: Do not sign in unapproved users (#15552) · discourse/discourse@584c6a2 · GitHub. Grazie per la segnalazione @nathank!

6 Mi Piace

Questo argomento è stato chiuso automaticamente dopo 31 ore. Non sono più consentite nuove risposte.