# Payload do SSO pode ser visto por moderadores novamente?
**URL:** https://meta.discourse.org/t/sso-payload-can-be-seen-be-moderators-again/174822
**Category:** Support
**Created:** [2 Janeiro , 2021 19:19 UTC](https://meta.discourse.org/t/sso-payload-can-be-seen-be-moderators-again/174822 "2021-01-02T19:19:34Z")
**Posts on this page:** 10
**Page:** 1
### Author:  [@anon60302432](https://meta.discourse.org/u/anon60302432)
#### Post date: [2 Janeiro , 2021 19:19 UTC](https://meta.discourse.org/t/sso-payload-can-be-seen-be-moderators-again/174822/1 "2021-01-02T19:19:35Z")
A discussão [Moderators should not see emails in SSO section - #13 by techAPJ](https://meta.discourse.org/t/moderators-should-not-see-emails-in-sso-section/81356/13) foi revertida? Parece que os moderadores conseguem ver novamente o payload (que contém o e-mail).
---
### Author:  [@codinghorror](https://meta.discourse.org/u/codinghorror)
#### Post date: [3 Janeiro , 2021 06:42 UTC](https://meta.discourse.org/t/sso-payload-can-be-seen-be-moderators-again/174822/2 "2021-01-03T06:42:47Z")
Não tenho certeza, @techAPJ, você pode dar uma olhada quando voltar?
---
### Author:  [@techAPJ](https://meta.discourse.org/u/techAPJ)
#### Post date: [3 Janeiro , 2021 12:36 UTC](https://meta.discourse.org/t/sso-payload-can-be-seen-be-moderators-again/174822/3 "2021-01-03T12:36:01Z")
Não consigo reproduzir isso na versão mais recente do Discourse.
> [@anon60302432](#):
>
> Parece que os moderadores conseguem ver novamente o payload (que contém o e-mail).
Observe que os moderadores verão o payload do SSO, mas esse payload não conterá `external_email`.
---
### Author:  [@neversitdull](https://meta.discourse.org/u/neversitdull)
#### Post date: [13 Janeiro , 2021 02:28 UTC](https://meta.discourse.org/t/sso-payload-can-be-seen-be-moderators-again/174822/4 "2021-01-13T02:28:16Z")
É possível restringir a visibilidade de toda a seção SSO para moderadores?
---
### Author:  [@anon60302432](https://meta.discourse.org/u/anon60302432)
#### Post date: [3 Fevereiro , 2021 19:43 UTC](https://meta.discourse.org/t/sso-payload-can-be-seen-be-moderators-again/174822/5 "2021-02-03T19:43:29Z")
Acabei de atualizar para a beta 3 e executei um teste. A conta tinha apenas a função de moderador, e o último payload incluía o e-mail mesmo com a opção “moderadores podem ver e-mails” desativada.
```plaintext
email=
external_id=
name=
nonce=
username=
```
Notei que você mencionou external\_email, mas no nosso payload é “email”, não “external\_email”. Talvez seja por isso? Precisamos corrigir isso do nosso lado?
---
### Author:  [@anon60302432](https://meta.discourse.org/u/anon60302432)
#### Post date: [8 Fevereiro , 2021 20:03 UTC](https://meta.discourse.org/t/sso-payload-can-be-seen-be-moderators-again/174822/6 "2021-02-08T20:03:46Z")
Para complementar, acredito que usei este post ao criar nosso processo de SSO: [Discourse SSO and API Helper for PHP](https://meta.discourse.org/t/discourse-sso-and-api-helper-for-php/51172?u=callahan). Ele usa “email” como um dos parâmetros, e não “external\_email”.
@techAPJ
---
### Author:  [@anon60302432](https://meta.discourse.org/u/anon60302432)
#### Post date: [12 Fevereiro , 2021 19:29 UTC](https://meta.discourse.org/t/sso-payload-can-be-seen-be-moderators-again/174822/7 "2021-02-12T19:29:57Z")
O que acham do acima? ^^
---
### Author:  [@techAPJ](https://meta.discourse.org/u/techAPJ)
#### Post date: [13 Fevereiro , 2021 02:09 UTC](https://meta.discourse.org/t/sso-payload-can-be-seen-be-moderators-again/174822/8 "2021-02-13T02:09:50Z")
> [@anon60302432](#):
>
> o último payload incluía o e-mail, mesmo com a opção “moderadores podem ver e-mails” desativada.
Você está falando da página `/admin/users/{id}/{username}` ou de outro lugar?
---
### Author:  [@techAPJ](https://meta.discourse.org/u/techAPJ)
#### Post date: [13 Fevereiro , 2021 02:50 UTC](https://meta.discourse.org/t/sso-payload-can-be-seen-be-moderators-again/174822/9 "2021-02-13T02:50:19Z")
> [@anon60302432](#):
>
> Percebi que você mencionou external\_email, mas no nosso payload está “email”, não “external\_email”. Talvez seja por isso? É algo que precisamos corrigir do nosso lado?
Não, quando o registro SSO é criado, o `external_email` é salvo conforme:
>
Em referência a:
```plaintext
email=
external_id=
name=
nonce=
username=
```
Onde você está vendo esse payload no Discourse? Como você pode ver acima, o email é salvo como `external_email`, o name é salvo como `external_name`, etc.
---
### Author:  [@techAPJ](https://meta.discourse.org/u/techAPJ)
#### Post date: [15 Fevereiro , 2021 10:48 UTC](https://meta.discourse.org/t/sso-payload-can-be-seen-be-moderators-again/174822/11 "2021-02-15T10:48:17Z")
Aha, vejo que o payload está visível para moderadores. Ocultei o payload do SSO para moderadores através de:
>
Também estamos discutindo se o payload deve ficar oculto atrás de um clique de botão para administradores (como fazemos para e-mails).
Obrigado pelo excelente relatório @anon60302432 e pela persistência nos acompanhamentos. 🏆