Problème de sécurité/confidentialité : Email exposé dans l'URL de redirection du fournisseur DiscourseConnect

[Falco]

@JACK_ZHANG

Le problème fondamental est le suivant : nous ne voulons pas exposer des informations utilisateur inutiles (comme l’e-mail) aux « sites tiers utilisant Discourse pour la connexion SSO ». Les utilisateurs autorisent uniquement pour prouver « Je suis un utilisateur légitime » - ils ne s’attendent pas à ce que leur e-mail soit partagé.

Je suis curieux, quel est ce tiers en aval qui a implémenté notre protocole SSO personnalisé ?

@JACK_ZHANG

Un paramètre de site pour contrôler si l’e-mail est renvoyé serait-il acceptable ?

Je dirais que c’est pr-welcome tant que ce n’est pas la valeur par défaut, afin de ne pas casser les sites existants.