수개월 동안 Discourse를 티켓팅 시스템으로 성공적으로 사용해 왔습니다. 그동안은 순조롭게 진행되었지만, 방금까지도 눈에 띄지 않던 보안 문제를 방금 발견했습니다.
정규 사용자가 이메일을 통해 토픽을 생성할 수 있도록 티켓 토픽에 trust_level_0을 추가해야 했던 점을 제외하면 모든 것이 잘 진행되었습니다. (staged 사용자의 경우 이 설정 없이도 정상 작동합니다.)
포럼 자체가 거의 활동이 없어서, trust level 0인 사용자가 로그인하면 관리자 및 ‘support_staff’ 그룹만 볼 수 있도록 설정된 비공개 지원 카테고리 게시물을 볼 수 있다는 사실을 어제까지 알아차리지 못했습니다.
이 문제를 해결할 방법이 있을까요? 해결할 수 없다면, 지원 티켓에 개인/민감한 정보가 많이 포함되어 있어 이 프로젝트를 중단해야 할 것 같습니다.
감사합니다!
David
이것이 바로 우리가 Private Topics Plugin 을 개발한 정확한 이유입니다.
그걸 사용 중인데, 작동하지 않는 것 같습니다.
내게 쪽지로 포럼 URL과 해당 카테고리의 카테고리 → 보안 탭 스크린샷을 함께 보내주실 수 있나요?
"비공개 주제"라는 말은 정확히 무슨 뜻인가요?
우리는 “개인 메시지” 기능이 있지만, "비공개 주제"라는 개념은 없습니다.
참고로, 질문자님이 말씀하신 방식은 우리가 메타(Meta)를 사용하는 방식과 정확히 동일합니다. 지원 주소로 오는 이메일은 그룹 수신함의 개인 메시지로 전달되며, 공개 영역으로 노출되는 일은 없습니다.
설정 방식을 잘못 하신 것 같습니다.
위쪽을 좀 살펴보시면, 이름이 정확히 Private Topics인 플러그인이 있습니다. 제가 바로 그걸 사용하고 있습니다.
아, 알겠습니다. 그 정보를 원글에 추가해야 합니다.
PM이 보냈습니다.
문제가 해결되었습니다. 제 머리에 PR을 넣었더니 이제 모든 것이 정상 작동합니다.
플러그인 설정 중 하나를 오해하고 있었습니다. 제대로 이해한 후에는 모든 것이 정상적으로 작동합니다.
감사합니다!
혼동된 상황을 설명하면 이 주제가 향후 독자들에게 유용해질 것입니다.
현재의 상세 수준에서는 "무언가 문제가 있었고 지금은 해결되었다"는 사실만 알 수 있습니다.
Private Topics 플러그인이 설치되었습니다.
두 가지 문제가 발생했습니다:
support_staff 그룹에 의해 생성되었습니다.support_staff 그룹이 포함되어 있었습니다.따라서 모든 TL0 사용자에게 모든 토픽이 표시되었습니다.
support_staff를 "Private topics permitted groups"에서 제거한 후 모든 것이 의도대로 작동했습니다.