公开帖子包含不安全上传的安全上传网址

最近的许多帖子似乎在其中包含安全上传 URL 的上传,尽管这些上传本身未被标记为安全,并且其中一小部分上传还具有设置了错误 ACL 的优化图像。所有原始图像在 s3 中都具有正确的 ACL。

3 个赞

我不确定,我认为我们没有正确支持“混合模式”@martin

启用安全上传后,所有内容都应受到保护,包括公开帖子?

3 个赞

规则是:

  1. 如果 login_required 为真,则除网站徽标、表情符号等公开内容外,所有内容均被标记为安全。
  2. 如果 login_required 为假,则只有在私信或安全类别中的上传才被标记为安全。

我需要看一些例子,是否有可能只是将图片 URL 从一个帖子复制到另一个帖子?我以前从未见过在底层上传不安全的情况下,某个文件获得安全 URL 的行为。

4 个赞

这是我发现的一个(据我所知,没有一张图片是热链接的)

顶部的图片没有安全链接,但所有其他图片都有(尽管被公共读取ACL所抵消)。我注意到在所有其他受影响的帖子中,总是第一张图片是正常的,但其他图片不是(只有一张图片的帖子不受影响)。

1 个赞

好的,我又发现了一个,虽然现在它们发生的频率稍微低了一些。

图片确实已在数据库中标记为安全(并且没有被热链接),原因是 access control post dictates security | source: post creator,尽管访问控制帖子是一个从未被编辑或移动过的公开帖子。

与上面的帖子类似,帖子中的第一张图片未被标记为安全,但所有其他图片都被标记为安全。

另一个论坛上正在发生非常类似的事情,尽管在这种情况下只有第一次上传是安全的,但其他上传都不是。