مخاوف أمنية/خصوصية: بريد إلكتروني مكشوف في عنوان URL لإعادة توجيه مزود DiscourseConnect

[Falco]

@JACK_ZHANG

يتم بعد ذلك ترميز هذا البريد الإلكتروني بترميز Base64 وتضمينه في عنوان URL لإعادة التوجيه:
https://target-site.com/callback?sso=<base64_payload>&sig=<hmac_signature>

فك ترميز حمولة base64 يكشف عن عنوان البريد الإلكتروني كنص عادي.

@JACK_ZHANG

أو تنفيذ رد اتصال قائم على POST بدلاً من إعادة التوجيه 302 باستخدام GET لتجنب تسجيل عنوان URL

أليس هذا مشفرًا أيضًا باستخدام المفتاح السري المشترك؟