クイックなJSONセキュリティに関する質問

皆様、5月おめでとうございます :wave:

セキュリティチームと話し合ったところ、カテゴリの JSON に userid が含まれている理由と、これらの JSON がそもそも何のために存在するのかについて疑問を持っています。

彼らの主な懸念は、例えばセキュリティ上の理由でトピックをリストから外す場合(過去にも実施したことがあります)、このメタデータによって情報が漏洩する可能性がないかという点です。

フィードバックをいただき、ありがとうございます!

こんにちは、Jim さん :wave:

質問の意図を正確に理解できませんでした。もう少し詳しく説明していただけますか?

Discourse では、サーバーとクライアント間のすべての情報を JSON で送受信しています。ユーザー ID は頻繁に含まれますが、機密情報とは見なされません。

トピックをリストから削除すると、すべてのトピック一覧からそのトピックが除外されます。これはサーバー側で処理されるため、権限のないアカウントに対する JSON ペイロードからは確かに消えます。

ただし、すでにトピックへのリンクを持っている場合は、リストから削除されたトピックでも閲覧できてしまいます。トピックを完全に保護する必要がある場合は、そのトピックを PM(プライベートメッセージ)に変換するのが最善です。

これで安心しました。ありがとうございます!