Estamos teniendo un problema de privacidad con moderadores que acceden a mensajes a los que no deberían tener acceso.
Por lo que puedo ver, Discourse tiene dos objetivos de diseño que entran en juego aquí:
- Los moderadores no están exentos de las verificaciones de permisos y solo pueden leer los mensajes a los que han sido invitados.
- Cuando los moderadores usan sus poderes, cualquier acción que realicen se registra y puede ser inspeccionada por cualquier miembro del personal.
A veces, estos objetivos entran en conflicto, por ejemplo, cuando un moderador edita la publicación de otro usuario en un mensaje que incluye a ese usuario. En estos casos, Discourse prioriza 
: la publicación editada del usuario queda expuesta a todo el personal en los registros de acciones del personal.
Aunque ya discrepo con la decisión de priorizar , esto genera casos límite que considero definitivamente indeseables, rozando un bug. El más grande que encontramos: los moderadores pueden leer actualmente cada mensaje que contiene un enlace a una imagen externa, porque @system descarga la imagen, edita la publicación y esto se añade a los registros de acciones del personal.
No estoy seguro de cuál es el curso de acción correcto aquí. ¿Hacer configurable el acceso al registro de acciones del personal para los moderadores? ¿No permitir ver la publicación en las entradas del registro de acciones del personal provenientes de @system? ¿Hacer que la función de ver la publicación respete generalmente los permisos de la publicación?
De cualquier manera, espero que algo pueda cambiar aquí, porque actualmente nos estamos viendo forzados a bloquear el acceso a la API del registro de acciones del personal a nivel de Nginx.
