Preocupación de seguridad/privacidad: Correo electrónico expuesto en la URL de redirección de DiscourseConnect Provider

[Falco]

@JACK_ZHANG

El problema principal es: no queremos exponer información de usuario innecesaria (como el correo electrónico) a “sitios de terceros que usan Discourse para el inicio de sesión SSO”. Los usuarios autorizan solo para demostrar “Soy un usuario legítimo”, no esperan que se comparta su correo electrónico.

Tengo curiosidad, ¿cuál es este tercero aguas abajo que ha implementado nuestro protocolo SSO personalizado?

@JACK_ZHANG

¿Sería aceptable una configuración del sitio para controlar si se devuelve el correo electrónico?

Yo diría que es pr-welcome siempre y cuando no sea el valor predeterminado, para no romper los sitios existentes.