非论坛员工收到仅限员工标签的通知

看起来,即使某个标签仅对员工开放(读写权限),非员工成员只要“关注”了该标签,仍然可以收到通知。

背景介绍:

我最近离开了一个我曾担任版主的小组。我们使用标签来内部跟踪重要话题,其中一些标签被设置为仅员工可见和可添加。因此,我知晓这些话题,并将我的通知设置针对这些仅限员工的标签设为“仅关注首帖”。

如今我已不再是员工,但当该标签被应用到某个话题时,我仍然会收到通知。然而,我无法:

  • 访问标签页面 /tags/{tag_name}
  • 在话题中看到该标签
  • 看到该话题是由员工编辑并添加了该标签
  • 一旦我从通知偏好中移除了该标签,就无法再将其添加回来

由于我无法访问或看到该标签,我认为我不应收到其被应用时的通知。这本身不算是一个安全问题,但可能会泄露某些社区不希望其员工团队以外的人知晓的信息。

8 个赞

您好,感谢您的反馈。我们已将修复程序推送到最新版本。这样您应该:

  • 停止接收您之前关注的特权标签的通知
  • 甚至不会在通知偏好设置中看到这些标签,也无需取消关注它们
    • 这部分的好处是,如果您被重新任命为版主,您将不必重新关注它们!

PR:SECURITY: Only show tags to users with permission by nattsw · Pull Request #15148 · discourse/discourse · GitHub

2 个赞