Leggendo questo e gli argomenti precedenti, posso vedere che il funzionamento attuale è “by design” ma non riflette le nuove modifiche al sistema di inviti. È diventato molto più facile creare link di invito che possono essere utilizzati da persone sconosciute. I link di invito ora possono anche essere creati pericolosamente da staff che aggiungono invitati a gruppi che possono avere accesso a categorie sicure sul sito.
@Wall-E Sono curioso di capire come i tuoi link di invito cadono nelle mani di persone a cui non dovrebbe essere consentito l’accesso al tuo sito. Presumibilmente lo staff del tuo sito saprà stare attento a non creare link di invito che chiunque possa utilizzare e condividerli pubblicamente o in contesti in cui le persone sbagliate potranno utilizzarli. In una certa misura, il problema che stai affrontando è un problema di formazione dello staff. Sentiti libero di inviarmi un messaggio privato con la tua risposta se contiene dettagli sensibili.
Se ci sono link di invito esistenti attualmente che sono in qualche modo compromessi, puoi eliminarli e crearne di nuovi e condividerli con più attenzione in futuro. Come amministratore, puoi anche sempre controllare nella pagina degli inviti per l’utente per vedere chi ha riscattato i propri inviti. Se hai staff di cui non ti fidi, puoi abbassare i loro privilegi a TL4, che ha quasi privilegi di moderatore.
Vedo tre possibili corsi d’azione:
- Non fare nulla. Il sistema di inviti funziona come previsto, lo staff deve solo fare attenzione con i propri link di invito. Se scegliamo questa strada, suggeriamo di modificare la descrizione dell’impostazione di amministrazione
must approve usersper chiarire che i link di invito creati dagli amministratori aggirano questa impostazione.
Lo staff deve approvare tutti i nuovi account utente prima che sia loro consentito accedere al sito. Nota: gli inviti creati dallo staff aggirano questa impostazione e non richiedono approvazione.
La pull request per questa modifica è qui: clarify that invites by staff bypass user approval by tobiaseigen · Pull Request #16966 · discourse/discourse · GitHub
-
Fai (1) ma aggiungi anche un passaggio di avviso extra “sei sicuro” quando gli amministratori creano un link di invito che può essere utilizzato per ottenere immediatamente l’accesso al sito. Solo sui siti con approvazione richiesta.
-
Cambia il comportamento in modo che i link di invito creati dagli amministratori rispettino l’impostazione di approvazione richiesta proprio come gli inviti dei non amministratori.
Sono d’accordo con l’OP sul fatto che il comportamento attuale sia fuorviante e abbia il potenziale di causare problemi sui siti quando l’approvazione è richiesta. I siti con questa impostazione abilitata sono estremamente cauti e necessitano di questo livello extra di controllo paranoico su chi può ottenere l’accesso.
La mia raccomandazione sarebbe quindi quella di scegliere la porta numero tre: far funzionare tutti i link di invito allo stesso modo e rispettare l’impostazione must approve users.
Non penso che questo sia un bug, tuttavia. Funziona come previsto. Riclassificato come richiesta di funzionalità.