Stiamo riscontrando un problema di privacy: i moderatori possono accedere a messaggi a cui non dovrebbero avere accesso.
Per quanto ne so, Discourse ha due obiettivi di progettazione che entrano in gioco qui:
- I moderatori non sono esenti dai controlli delle autorizzazioni e possono leggere solo i messaggi a cui sono stati invitati.
- Quando i moderatori utilizzano i loro privilegi, qualsiasi azione intrapresa viene registrata e può essere esaminata da qualsiasi membro dello staff.
A volte, questi obiettivi sono in conflitto, ad esempio quando un moderatore modifica un post di un altro utente in un messaggio che lo coinvolge. In questi casi, Discourse dà priorità a 
: il post dell’utente modificato viene rivelato a tutto lo staff nei registri delle azioni dello staff.
Anche se non sono d’accordo con la decisione di dare priorità a , questo presenta casi limite che ritengo decisamente indesiderabili, al punto da sfiorare un bug. Il più grande che abbiamo individuato: attualmente i moderatori possono leggere ogni singolo messaggio che contiene un link a un’immagine esterna, poiché @system scarica l’immagine, modifica il post e questa azione viene aggiunta ai registri delle azioni dello staff.
Non sono sicuro di qual è la strada giusta da percorrere. Rendere configurabile l’accesso ai registri delle azioni dello staff per i moderatori? Non permettere la visualizzazione del post per le voci dei registri delle azioni dello staff generate da @system? Far sì che la funzione di visualizzazione del post rispetti generalmente le autorizzazioni dei post?
In ogni caso, spero che qualcosa possa cambiare, perché al momento siamo costretti a bloccare l’accesso all’API dei registri delle azioni dello staff a livello di Nginx.
