Ja, das habe ich gesehen. Zur Kenntnis genommen.
Ich werde die zuständigen Stellen zitieren, die uns aufgrund dieses Aspekts, der in unserer Organisation als Sicherheitsproblem betrachtet wird, abschalten können: „Wenn dieses System jemanden von einer nicht autorisierten Organisation zulassen kann, müssen Sie davon ausgehen, dass dies unabhängig von Ihrer Sorgfalt irgendwann geschehen wird“. Genau das ist passiert. Diese „Funktion“ (ich würde sagen, eine Nicht-Funktion, da „must_approve_user“ im Fall von nur Einladungen einfach keine Wirkung hat) wurde aktiviert, wir haben die uneingeschränkte Einladung an genau die Personen ausgestellt, die wir einladen wollten, und offensichtlich hat eine dieser Personen diesen Link zur uneingeschränkten Einladung an eine andere Organisation weitergegeben.
Damit beantworte ich auch @tobiaseigen
Wir haben Besprechungen, Konferenzen mit manchmal Hunderten von Personen aus autorisierten Organisationen, die unserem Forum beitreten dürfen. Aber einige von ihnen sind manchmal von anderen Organisationen, die nicht autorisiert sind, unserem Forum beizutreten (aufgrund übergeordneter Richtlinien, die außerhalb unserer Kontrolle liegen).
Dieser Einladungslink lief „locker“, selbst mit der Sorgfalt der Mitarbeiter, da wir nicht kontrollieren können, was die Personen mit diesem Link, die „implizit autorisiert“ sind, tun werden; per Definition ist dieser Link „uneingeschränkt“, also können sie ihn an jeden weiterleiten, den sie wollen. Ich kann meinen Mitarbeitern dafür keine Schuld geben, denn wenn Sie sagen, es sei „by design“ eine implizite Genehmigung, bedeutet das, dass dieser uneingeschränkte Einladungslink überallhin gelangen kann, also wird er es irgendwann tun. Das ist genau das, worüber unsere IT-Abteilungsleiter aus guten Gründen gesprochen haben. Wir wussten das, und deshalb haben wir „must_approve_users“ als die Sicherheitsebene aktiviert, von der wir dachten, sie sei dafür da.
Ich sehe, dass die Frage aufgeworfen wird, ob dies ein Feature oder ein Bug ist. Ich bin kein professioneller Programmierer, das müssen Sie entscheiden (ich bin Astrophysiker). Ich melde Ihnen lediglich ein ernstes „Problem“, das uns dadurch entstanden ist, in der Hoffnung, dass es behoben werden kann, damit wir diese wunderbare Plattform weiterhin nutzen können.
Ich bin voll und ganz für Option 3, ebenso wie unser Forschungszentrum und meine Forenmitarbeiter. Bis auf Weiteres ist es den Mitarbeitern untersagt, die uneingeschränkte Einladung zu verwenden. Dies bedeutet zusätzlichen Aufwand, da sie nun alle einzelnen E-Mail-Adressen der Personen hinzufügen müssen, die sie einladen möchten (und auf einer Konferenz sind das mehr als Hunderte von Teilnehmern…). Dies bei jeder Besprechung, Veranstaltung usw. zu tun, wird unser Wachstum stark behindern, und ich kann mir vorstellen, dass einige Mitarbeiter aufgrund der zusätzlichen Arbeitsbelastung gehen werden (die meisten von ihnen sind Freiwillige und alle mit ihren anderen Aufgaben überlastet).