在 admin/users 页面查看用户时，“主要邮箱”和“次要邮箱”字段会被隐藏，并且需要相应权限才能查看：
但在同一页面下方通过 SSO 查看时，相同的邮箱却以未受保护的形式显示：
预期结果：SSO 邮箱应像主要邮箱和次要邮箱一样受到保护。
实际结果：SSO 邮箱未受保护，即使站点设置禁止向版主显示邮箱，版主仍可查看。
补充说明：我提到的虽然是邮箱，但实际上“外部 ID”也可能属于敏感信息。
2 个赞
我不确定这是否算作一个漏洞，但这确实是一个需要解决的问题。
3 个赞
已通过以下方式修复：
5 个赞
@anon60302432 指出 SSO 载荷中也包含电子邮件，因此我们同样通过按钮点击来隐藏该载荷，具体修改如下：
https://github.com/discourse/discourse/commit/a174c8b8d42da08b9a9f13b96dfd17003bdaac86
3 个赞