Sicherheits-/Datenschutzbedenken: E-Mail in DiscourseConnect Provider Weiterleitungs-URL offengelegt

[Falco]

@JACK_ZHANG

Das Kernproblem ist: Wir möchten keine unnötigen Benutzerinformationen (wie E-Mail) an „Drittanbieter-Websites, die Discourse für die SSO-Anmeldung verwenden“ weitergeben. Benutzer autorisieren nur, um zu beweisen, dass „ich ein legitimer Benutzer bin“ – sie erwarten nicht, dass ihre E-Mail-Adresse weitergegeben wird.

Ich bin neugierig, welcher Downstream-Drittanbieter unser benutzerdefiniertes SSO-Protokoll implementiert hat?

@JACK_ZHANG

Wäre eine Site-Einstellung, um zu steuern, ob die E-Mail-Adresse zurückgegeben wird, akzeptabel?

Ich würde sagen, das ist pr-welcome, solange es nicht die Standardeinstellung ist, damit wir bestehende Websites nicht beeinträchtigen.