安全/隐私问题：DiscourseConnect Provider 重定向 URL 中暴露了电子邮件

[Falco]

@JACK_ZHANG

核心问题是：我们不希望将不必要的用户信息（如电子邮件）暴露给“使用 Discourse 进行 SSO 登录的第三方网站”。用户授权只是为了证明“我是一个合法用户”——他们不希望自己的电子邮件被共享。

我很好奇，实现了我们自定义 SSO 协议的下游第三方是什么？

@JACK_ZHANG

一个控制是否返回电子邮件的站点设置可以接受吗？

我会说这是一个 pr-welcome，只要它不是默认设置，这样我们就不会破坏现有的站点。