「안전 미디어」가 켜져 있으면 복사나 인용 시 미디어 링크가 깨집니다

기여 버그
1

재현 방법:

  1. 안전한 미디어(secure media) 활성화
  2. 새 토픽을 만들고 미디어를 드래그하여 첨부 (PDF 파일이면 충분합니다)
  3. 자신의 토픽에 미디어를 복사하여 붙여넣기하거나 (또는 자신을 인용하여) 답변

이제 원래의 미디어 첨부 파일을 클릭하면 정상적으로 작동하지만, 인용/복사된 미디어 링크를 클릭하면 (비록 정확히 동일한 링크일지라도) 오류 페이지로 이동합니다:
image
유일한 차이점이 referrer 태그인 것 같으므로, 이것이 원인일 것으로 추정됩니다.

1개의 좋아요
3

이것이 허용되는 사용 사례인지 확신이 서지 않습니다. 'secure media’는 미디어가 게시物和와 강하게 연관되어 있음을 의미하는데, 여기서는 느슨한 연관성에 의존하고 있기 때문입니다.

@martin 님이 이번 주 후반에 확인해 주실 수 있습니다.

4

답변해 주셔서 감사합니다!

미디어가 게시글과 연관되어 있어야 한다는 의도라면, 현재 작동 방식에서는 훨씬 더 큰 "버그"가 존재합니다. 현재는 미디어 URL을 복사할 수 있으며(이 URL은 https://www.my.domain/secure-media-uploads/meta/original/1X/db86496651c78aa64adbe43b2907654555002.pdf 같은 형태입니다), 이 URL을 누구든 Discourse에 로그인한 상태라면 공유할 수 있습니다. 상대방은 브라우저 주소창에 이 URL을 붙여넣기만 하면(Discourse를 열지 않아도) 파일을 다운로드할 수 있습니다.

5

이 기능은 s3에서만 작동하며, 활성화되어 있는지 명확하지 않습니다?

6

네, S3가 활성화되어 있습니다. 그렇지 않으면 "Secure Media"를 사용할 수 없었을 것입니다.

7

솔직히 말씀드리면, 이 부분을 훨씬 더 꼼꼼하게 테스트해 보시길 권합니다. 개인 메시지(PM)에 이미지를 게시한 후, 해당 PM에 접근 권한이 없는 최종 사용자가 접근할 수 없는지 확인해 보세요.

로그인한 사용자가 PDF가 포함된 게시글에 접근할 수 있다면, 해당 파일을 다운로드할 수 있습니다.

8

아, 좋은 지적이네요. 바로 테스트해 보겠습니다.

수정: 네, 죄송합니다. 말씀하신 대로 게시물에 접근 권한이 있는 사용자만 미디어를 다운로드할 수 있네요. 다만, 게시물 링크를 직접 클릭하는 것으로만 제한되지는 않으므로, 링크가 복사된 상태이고 사용자가 원본 미디어에 대한 접근 권한이 있다면, 사용자가 URL을 주소창에 복사해서 붙여넣어야 하는 불편함 없이 다운로드할 수 있도록 해야 한다고 생각합니다.

9

이번 주에 확인해 보겠습니다. 보고해 주셔서 감사합니다.

3개의 좋아요
10

지연된 점 죄송합니다. FIX: Add secure media url to SERVER_SIDE_ONLY list - Pull Request #11348 - discourse/discourse - GitHub 에서 수정되었습니다.

3개의 좋아요