Usuário silenciado pode contornar a restrição entrando no modo anônimo

ValdikSS · Agosto 4, 2024, 1:08pm

Quando o usuário é silenciado, entrar no modo anônimo permite postar sem restrições.
Discourse 3.3.0.beta6

ValdikSS · Agosto 4, 2024, 1:10pm

Suspender a conta que já entrou no modo anônimo também não suspenderá (ou desconectará) a conta anônima.

NateDhaliwal · Agosto 4, 2024, 1:10pm

Qual TL é o usuário silenciado?

ValdikSS · Agosto 4, 2024, 1:11pm

Acabei de testar no usuário de teste TL=1.

NateDhaliwal · Agosto 4, 2024, 1:11pm

Qual é o valor para a configuração grupos permitidos para postagem anônima?

ValdikSS · Agosto 4, 2024, 1:13pm

TL=0, pessoal.

NateDhaliwal · Agosto 4, 2024, 1:14pm

Uau, estou surpreso que as pessoas não abusem disso.

De qualquer forma, talvez tente limitá-lo a um grupo específico que tenha todo mundo? Então remova os usuários se você não quiser que eles entrem no modo anônimo?
Ou, limite-o ao TL1 e rebaixe este usuário para TL0?

ValdikSS · Agosto 4, 2024, 1:15pm

Claro, posso resolver o problema. Estou relatando o bug no motor.

NateDhaliwal · Agosto 4, 2024, 1:16pm

Entendi. Eu estava apenas fornecendo uma solução alternativa.

Jagster · Agosto 4, 2024, 1:26pm

Mais fácil? A solução de longo prazo seria desabilitar o modo anônimo de usuários silenciados

pangbo · Agosto 5, 2024, 1:02am

Acho que este problema poderia ser corrigido adicionando
return if user.silenced? || user.suspended?
a

github.com/discourse/discourse

app/services/anonymous_shadow_creator.rb

2b577950a


      
            @user = user
          end
          
          def get_master
            return unless user
            return unless SiteSetting.allow_anonymous_posting
          
            user.master_user
          end
          
          def get
            return unless user
            return unless SiteSetting.allow_anonymous_posting
            return if !user.in_any_groups?(SiteSetting.anonymous_posting_allowed_groups_map)
            return if SiteSetting.must_approve_users? && !user.approved?
          
            shadow = user.shadow_user
          
            if shadow && (shadow.post_count + shadow.topic_count) > 0 && shadow.last_posted_at &&
                 shadow.last_posted_at < SiteSetting.anonymous_account_duration_minutes.minutes.ago
              shadow = nil

e

github.com/discourse/discourse

app/serializers/current_user_serializer.rb

2b577950a


      
          def can_post_anonymously
            SiteSetting.allow_anonymous_posting &&
              (is_anonymous || object.in_any_groups?(SiteSetting.anonymous_posting_allowed_groups_map))
          end

A propósito, estou curioso para saber por que a verificação de permissão para can_post_anonymously não é implementada dentro do módulo Guardian.

jrgong · Fevereiro 7, 2025, 2:43pm

Estamos enfrentando o mesmo problema na versão 3.4.0beta3. Alguém pode confirmar se foi corrigido na 3.4.0beta4?

Jonathan5 · Março 26, 2025, 11:24pm

Posso confirmar que não foi corrigido na versão 3.5.0.beta2-dev.

Jonathan5 · Março 29, 2025, 11:14am

Idealmente, um usuário no Modo Anônimo estaria sujeito a todas as mesmas restrições que teria sem estar no Modo Anônimo.

sam · Março 31, 2025, 5:52am

Eu acho justo, @hugh devemos colocar um pr-welcome nisso?

hugh · Março 31, 2025, 6:07am

Parece bom - tag adicionada!

Também estou incluindo @osama aqui, pois ele trabalhou muito recentemente no modo anônimo, então ele pode ter uma visão mais imediata sobre isso.

Jonathan5 · Abril 13, 2025, 8:03pm

Usuário silenciado TL0 pode criar conta anônima que logo se torna TL1, e assim, por exemplo, pode usar PMs, enviar posts, etc. (dependendo das configurações de TL do fórum, é claro).

ted · Abril 23, 2025, 8:39am

Olá!

Acabamos de mesclar uma correção que garante que, enquanto estiver no modo anônimo, o status “silenciado” da conta do proprietário seja respeitado aqui:

github.com/discourse/discourse

FIX: Delegate silenced_till from anonymous user to main user account

main ← fix/anonymous-silenced-users

opened 06:40AM - 23 Apr 25 UTC

Drenmi

+24 -0

### What is the problem? When a user is silenced they can, given they have th…e permissions, enter anonymous mode and keep posting, essentially bypassing the silence that way. ### How does this fix it? This change delegates the `silenced_till` attribute to the main user record if the user is anonymous. ### Trade-offs and alternative approaches Given anonymous posting is enabled, as of this change, each call to `silenced_till` will produce a minimal query to `anonymous_users` to select one record based on pkey. The alternative to this is to add logic to update the anonymous record's value when it is created and when a user is silenced or unsilenced. Given this choice of a theoretical minimal performance impact on a lukewarm path and a significantly more involved implementation, I chose the former.

Tópico		Respostas	Visualizações
Anonymous mode not working Bug anonymous-mode	7	729	9 de Agosto de 2020
Enable and configure anonymous mode Site Management how-to , anonymous-mode	0	7956	23 de Junho de 2020
Anonymous posting not available even when enabled Support anonymous-mode	7	2752	23 de Junho de 2020
Anonymous posting -- but retaining original user permissions Feature anonymous-mode	11	1822	2 de Dezembro de 2021
Anonymous posting for sensitive subjects Feature anonymous-mode	16	1978	13 de Junho de 2020

Usuário silenciado pode contornar a restrição entrando no modo anônimo

Tópicos relacionados