看起来这个漏洞存在已久。根据我们的 PostGuardian,只有工作人员可以取消隐藏帖子,但客户端检查用户是否为工作人员或 TL4。
我提交了一个 PR 来隐藏 TL4 用户的该按钮:
我假设这是我们想要的做法,但如果我们更希望让版主也能取消隐藏帖子,我可以调整 guardian 的逻辑。
看起来这个漏洞存在已久。根据我们的 PostGuardian,只有工作人员可以取消隐藏帖子,但客户端检查用户是否为工作人员或 TL4。
我提交了一个 PR 来隐藏 TL4 用户的该按钮:
我假设这是我们想要的做法,但如果我们更希望让版主也能取消隐藏帖子,我可以调整 guardian 的逻辑。