Von Mitarbeitern generierte Einladungen umgehen die Anforderung must_approve_users

[Simon_Manning]

@tobiaseigen

2. Tun (1) aus, füge aber auch einen zusätzlichen „Sind Sie sicher“-Warnschritt hinzu, wenn Administratoren einen Einladungslink erstellen, der sofortigen Zugriff auf die Website gewährt. Nur auf Websites, auf denen eine Genehmigung erforderlich ist.
3. Ändere das Verhalten so, dass von Administratoren erstellte Einladungslinks die Einstellung „Genehmigung erforderlich“ respektieren, genau wie Einladungen von Nicht-Administratoren.

@Stephen

Ist es sicher anzunehmen, dass, wenn Option 3 umgesetzt wird, es eine Option geben wird, die das bestehende Verhalten beizubehalten?

Die Trainingsseite, die wir zusammengestellt haben, wäre ohne die Möglichkeit, die Genehmigungen für die in Massen eingeladenen Gruppen zu umgehen, weitaus schwieriger umzusetzen gewesen.

Dies könnte eine weitaus komplexere Änderung sein, abhängig davon, wie der Guardian in die verschiedenen Elemente dieses Prozesses einbezogen wird, aber eine weitere Option, die ebenfalls von 3 abhängt, ist:

4. Füge den Einladungen selbst eine boolesche Eigenschaft hinzu, um die Benutzergenehmigung zu umgehen. Diese Eigenschaft wäre standardmäßig deaktiviert und nur in der Benutzeroberfläche zum Erstellen von Einladungen verfügbar, wenn must_approve_users aktiviert ist.

Bearbeiten: Wenn ich mir den Code, auf den David verwiesen hat, noch einmal ansehe, glaube ich nicht, dass der Guardian überhaupt daran beteiligt ist, zu entscheiden, ob ein eingeladener Benutzer genehmigt werden muss. Es scheint, dass dieser Teil eine einfache Ersetzung von invite.invited_by.staff? durch etwas wie invite.bypass_approval? wäre.