Preocupación de seguridad/privacidad: Correo electrónico expuesto en la URL de redirección de DiscourseConnect Provider

[Falco]

@JACK_ZHANG

Este correo electrónico se codifica en Base64 y se incluye en la URL de redirección:
https://target-site.com/callback?sso=<base64_payload>&sig=<hmac_signature>

La decodificación de la carga útil base64 revela la dirección de correo electrónico en texto plano.

@JACK_ZHANG

O implementar una devolución de llamada basada en POST en lugar de la redirección GET 302 para evitar el registro de URL

¿Eso tampoco está cifrado con el secreto compartido?