L'invitation de rédemption a permis à l'utilisateur d'accéder au forum AVANT l'approbation

Notre Forum a ces paramètres :

  1. login_required ACTIVER
  2. must_approve_users ACTIVER
  3. min_trust_level_to_allow_invite 2 : membre

Lors des tests de nos invitations de forum, j’ai remarqué que :

  1. Quand un utilisateur TL2 invite un autre utilisateur par e-mail et
  2. Ils cliquent sur le lien d’invitation dans leur e-mail et
  3. Ils remplissent les champs et soumettent le formulaire

Cela se produit → ils sont directement dirigés vers le Forum (comme s’ils étaient pré-approuvés) et peuvent le lire à volonté. Ils ne devraient pas pouvoir le faire tant qu’ils ne sont pas approuvés.

Ils restent effectivement non approuvés. S’ils essaient d’accéder à nouveau au site, ils en sont empêchés avec le message standard « vous n’êtes pas approuvé ».

5 « J'aime »

En effet, je peux reproduire cela sur la version 2.8.0.beta10 ( bbca25e875 )

3 « J'aime »

Je peux confirmer sur mon site de test (17ec3bc5b9)

  • Connexion requise
  • Doit approuver les utilisateurs
  • TL2 peut envoyer des invitations

Et mon invité a pu voir et publier sur cette ‘visite d’inscription’ sans être approuvé.

3 « J'aime »

C’est une situation compliquée.

Nous n’avons actuellement aucune implémentation pour « Tenez bon, jusqu’à ce que quelqu’un approuve votre compte ».

En fait, je ne suis même pas sûr que cela ait un sens, pourquoi inviter quelqu’un sur le forum juste pour qu’il soit bloqué.

Je dirais que votre solution de contournement immédiate consiste à interdire les invitations sur tl2/3… cela permettra au moins de masquer cette bizarrerie.

Je suppose que nous devrions, au moins dans l’intervalle, désactiver complètement les invitations pour les non-membres du personnel lorsque must_approve_users est activé.

@dan, qu’en penses-tu ?

9 « J'aime »

Fait. Bien sûr, les TL4 auront toujours le problème, mais je n’en ai pas vraiment, donc tout va bien !

Cela me semble une solution permanente.

J’ai été un peu surpris que mes clients puissent inviter d’autres personnes !

6 « J'aime »

Je suis partagé sur ce point car je comprends les deux points de vue. Cependant, je pense que le statu quo est un peu trompeur car tous les utilisateurs qui s’inscrivent ne doivent pas être approuvés.

Dans une certaine mesure, je suppose que cela dépend de la communauté et de la confiance que vous accordez à vos utilisateurs. Peut-être qu’à l’avenir, must_approve_users pourra être un menu déroulant : non, oui ou si non invité.

Je vais ajouter cela à ma liste de choses à faire.

6 « J'aime »

Résolu via SECURITY: Do not sign in unapproved users (#15552) · discourse/discourse@584c6a2 · GitHub. Merci pour le rapport @nathank !

6 « J'aime »

Ce sujet a été automatiquement fermé après 31 heures. Les nouvelles réponses ne sont plus autorisées.