A very good point. And good to hear “out loud”. This is the right way for me to be thinking about confidentiality and privacy.
5 Mi Piace
I have used private categories with “less private” subcategories, so that a group can work in their space and publish things to a larger public. I guess this line of work will become obsolete by this change. So I should let users know that when they want to publish something, they need to move it to another, more public category. But then, how do they find their common work on this? I suppose they need to maintain a “publications” topic where they link the ‘more public’ topics. Any thoughts?
1 Mi Piace
I am reviewing FIX: validate parent category/subcategories permissions by majakomel · Pull Request #6877 · discourse/discourse · GitHub by @maja.
The particular condition we are protecting against is:
- category (authors: read)
- subcategory (pilots: read)
What this means is that pilots are not allowed to see anything in the category yet have been granted permissions in the subcategory so something is fishy 
The condition:
- category (authors: read)
- subcategory (pilots: read, authors: write)
Is still 
after this new validation.
The tricky thing though 
is that we no longer will allow:
- category (trust_level_3: read)
- subcategory (trust_level_4: write)
This particular edge case gives me pause, there is an easy enough work around … you would have to explicitly change
- category (trust_level_3: read, trust_level_4: read)
Given the OP is in a pretty bad state I say we see how the new restriction shakes up. FYI @HAWK @jomaxro
10 Mi Piace
@sam Vedo che la PR è stata unita, ma non sono sicuro che la funzionalità per l’ereditarietà sia riflessa nella nostra installazione di Discourse v2.4.0.beta2 +183?
Siamo rimasti piuttosto sorpresi nel scoprire che tutto il contenuto che pensavamo fosse privato nelle sottocategorie era immediatamente disponibile al pubblico non autenticato tramite latest.
Dato che abbiamo quasi 10 categorie, ciascuna con numerose sottocategorie, sarebbe davvero scomodo dover impostare manualmente le autorizzazioni per ognuna di esse.
1 Mi Piace
@sam Sembra che ora funzioni, ma sembra esserci ancora un caso limite (che oggi ci ha creato qualche problema 
)
È possibile eliminare tutte le autorizzazioni nella scheda Sicurezza durante la creazione della sottocategoria; in tal caso, la sottocategoria (ad esempio, della categoria staff) verrà creata con successo e sarà visibile a tutti.
Per dare seguito, vorrei sapere se questa opzione è stata abilitata da qualche parte? Un modo per modificare l’autorizzazione delle categorie e far sì che tutte le sottocategorie ereditino quella nuova autorizzazione?