Ein inszenierter Benutzer, der ein vollständiges Konto erstellt und einen Link postet, erhält zahlreiche Spam-Markierungen

Ich melde dies vorerst als Contribute > Bug, es könnte sich jedoch um ein Contribute > Feature handeln.

Ein Nutzer sendet eine Gruppen-Nachricht und kommuniziert über einen längeren Zeitraum hinweg mehrfach hin und her. Zwei Monate nach Beginn der Gruppen-Nachricht registriert sich der Nutzer auf der Seite und wird entstaged, wodurch er zum TL0-Nutzer wird. Anschließend veröffentlicht der Nutzer ein Thema, das einen Link enthält, der zuvor in der Gruppen-Nachricht verwendet wurde. Das System setzt den Nutzer umgehend stumm, und das System löst zahlreiche Flaggen aufgrund des newuser spam host threshold aus. Ein Nutzer sollte nicht dafür „bestraft“ werden, dass er ein völlig normales Thema veröffentlicht, nur weil während seiner Zeit als gestagter Nutzer eine Gruppen-Nachricht existierte.

4 „Gefällt mir“

Yes we have had this bug for a long time.

Probably we need to better consider the dates the user “joined” based on staging.

3 „Gefällt mir“

We were just hit by this again, 58 PMs to the moderator group created. We’ve got to fix this…

5 „Gefällt mir“

This happened again. Not a staged account this time, but a normal user getting support and including links. The spam trigger was correct this time (a new user posting links to the same domain), but we still ended up with 33 PMs in the moderator inbox. Consolodating those messages would be nice.

3 „Gefällt mir“

This happened again. Staged user signed up, received only 3 flags (not as bad as in the past), but caused a bit of confusion with the user.

1 „Gefällt mir“

Maybe @featheredtoast can have a look; we get bitten by this regularly so the code needs to be improved.

Probably we need to better consider the dates the user “joined” based on staging.

5 „Gefällt mir“

That sounds like a sane improvement; let me see what I can do here.

6 „Gefällt mir“

This is now merged: previously staged users will now be considered trusted users. :pear:

https://github.com/discourse/discourse/pull/6002

7 „Gefällt mir“

We’re confident this has no security holes, e.g. you can’t game the system by mailing in, then immediately sign up to gain TL1 “for free”?

The main focus here is ensuring that the spam link check is improved.

2 „Gefällt mir“

I get your point, I misunderstood what we wanted to do here sorry - that’s how it is right now (consider someone as a “trusted users” if they come through staged.)

I’ll improve this now - just to confirm, all we want is the spam host check to not trigger, but all other new user checks will still be in place, correct? (the other checks being: max links, max mentions, and max attachments)

1 „Gefällt mir“

It might be safe “enough” if you gate it by time. What I object to is someone emailing team@discourse.org and then IMMEDIATELY signing up with that same email to gain trust level 1. That’s a straight up exploit.

OK I’ve updated this - Now, they will still be considered tl0, but will not trigger the spam if the accounts were created more than 1 week ago to catch the “long email relationship” cases. :banana:

https://github.com/discourse/discourse/commit/68e4e6a5755db4dd974eaeed73d5cfc517449b75

Do we want ‘time until discourse recognizes a mature staged user’ be an additional site setting, or is this sufficient barrier lowering?

6 „Gefällt mir“

I would say one day is probably fine and safe enough; it’s pretty easy to get from TL0 to TL1 if you know what you are doing.

5 „Gefällt mir“

OK, done - this should be good now :fish_cake:

https://github.com/discourse/discourse/commit/2ff226e5091f279ed2aa5b3e707a1acbd74f21fd

6 „Gefällt mir“