Preocupação de Segurança/Privacidade: E-mail exposto na URL de redirecionamento do provedor DiscourseConnect

[Falco]

@JACK_ZHANG

A questão central é: não queremos expor informações desnecessárias do usuário (como e-mail) a “sites de terceiros que usam o Discourse para login SSO”. Os usuários autorizam apenas para provar “Eu sou um usuário legítimo” - eles não esperam que seu e-mail seja compartilhado.

Estou curioso, qual é esse terceiro de destino que implementou nosso protocolo SSO personalizado?

@JACK_ZHANG

Uma configuração do site para controlar se o e-mail é retornado seria aceitável?

Eu diria que isso é pr-welcome, desde que não seja o padrão, para não quebrarmos sites existentes.