Passos para reproduzir:
Agora você pode observar que clicar no anexo de mídia original funciona bem, mas clicar no link da mídia citada/copiada (mesmo sendo o mesmo link exato) leva a uma página de erro:
Suspeito que possa ter a ver com a tag referrer, pois essa é a única diferença.
Não tenho certeza se este é um caso de uso permitido. Mídia segura significa que a mídia está fortemente associada a um post, e isso depende de uma associação mais solta.
@martin pode confirmar no final desta semana.
Obrigado pela sua resposta!
Se a intenção é que a mídia esteja associada ao post, então há um “bug” muito maior, porque, como funciona atualmente, você pode copiar a URL da mídia (que se parece com isto: https://www.my.domain/secure-media-uploads/original/1X/db86496651c78aa64adbe43b2907654555002.pdf) e simplesmente compartilhá-la com qualquer pessoa que esteja logada no Discourse. Essa pessoa pode colá-la na barra de endereços do navegador (mesmo sem abrir o Discourse) e baixar o arquivo.
Esse recurso funciona apenas com o S3 e não está claro se ele está habilitado ou não.
Sim, o S3 está habilitado. Caso contrário, eu não poderia usar o “Secure Media”.
Bem, recomendo que você teste isso com muito mais cuidado. Publique uma imagem em uma mensagem privada e observe como usuários finais sem acesso à mensagem privada não terão acesso.
Se usuários logados tiverem acesso à postagem com o PDF, eles poderão baixá-lo.
Ah, esse é um bom ponto. Vou testar imediatamente.
EDIT: Ok, desculpe, você está certo, apenas usuários com acesso ao post podem baixar a mídia. Ainda assim, não é limitado a clicar realmente no link do post, então, dado que o link foi copiado e o usuário tem acesso à mídia original, ainda acho que deveria permitir o download sem forçar o usuário a copiar e colar a URL na barra de endereços dele.
Vou tentar dar uma olhada nisso para você esta semana. Obrigado pelo relatório.
Desculpe pelo atraso, isso foi corrigido em FIX: Add secure media url to SERVER_SIDE_ONLY list by martin-brennan · Pull Request #11348 · discourse/discourse · GitHub