发送请求中响应内容明文暴露评论者IP、邮箱等隐私内容

[AyagawaSeirin]

如题，以前没有注意到这个问题，这次不看不知道一看吓一跳。

请求的返回内容包括评论者IP、邮箱等隐私数据，一览无余。

在普通的评论显示页面中，并不需要显示评论者IP和邮箱，所以为什么要返回这几个字段数据从而出现泄漏隐私的风险呢？

如果你们觉得IP和邮箱不属于隐私敏感数据，那当我没说好了。

[imaegoo]

+1，邮箱和IP属于隐私敏感数据，所以就去查了一下 LeanCloud 文档

手动更改字段权限

https://leancloud.cn/docs/data_security.html#hash723958571

1. 访问 LeanCloud 控制台 > 存储 > 结构化数据
2. 选择 Comment Class，分别点击 mail 和 ip 相应字段的下拉菜单，选择编辑
3. 勾选"客户端不可见"后，客户端发起查询的时候，返回的结果将不包含这个字段

注意

如果设置 mail 客户端不可见，将不会显示评论者的 Gravatar，转为显示默认头像。
目前想到的办法是新增一个可见字段存储 mail 的 MD5，需要改 Valine 源码，还需要处理现有数据。

[AyagawaSeirin]

+1，邮箱和IP属于隐私敏感数据，所以就去查了一下 LeanCloud 文档

手动更改字段权限

https://leancloud.cn/docs/data_security.html#hash723958571

1. 访问 LeanCloud 控制台 > 存储 > 结构化数据
2. 选择 Comment Class，分别点击 mail 和 ip 相应字段的下拉菜单，选择编辑
3. 勾选"客户端不可见"后，客户端发起查询的时候，返回的结果将不包含这个字段

注意

如果设置 mail 客户端不可见，将不会显示评论者的 Gravatar，转为显示默认头像。
目前想到的办法是新增一个可见字段存储 mail 的 MD5，需要改 Valine 源码，还需要处理现有数据。

感谢，我试试看。

[ljcbaby]

看来在下一版更新之前没有评论系统了

[ljcbaby]

最好直接联系一下作者的邮箱
[email protected]

[ljcbaby]

从用途上来讲，返回email是为了显示头像（保留明文是邮件提示），ip是显示评论的地理位置没有显示地理位置的，UA是显示评论的设备和浏览器。

[imaegoo]

目前想到的办法是新增一个可见字段存储 mail 的 MD5

发布了基于 1.4.14 修改的隐私保护版，可以保护评论者的 mail 和 ip
https://github.com/imaegoo/Valine/tree/imaegoo/1.4.14

[AyagawaSeirin]

目前想到的办法是新增一个可见字段存储 mail 的 MD5

发布了基于 1.4.14 修改的隐私保护版，可以保护评论者的 mail 和 ip
https://github.com/imaegoo/Valine/tree/imaegoo/1.4.14

解决了！感谢你的方案！！
太感谢了~

[AyagawaSeirin]

暂时解决了此安全隐患，但还是希望官方尽快能给出解决方案！

[bighamx]

你可能对隐私有什么误解

[AyagawaSeirin]

你可能对隐私有什么误解

如果你们觉得IP和邮箱不属于隐私敏感数据，那当我没说好了。

[bighamx]

你可能对隐私有什么误解

如果你们觉得IP和邮箱不属于隐私敏感数据，那当我没说好了。

邮箱是用于对外联系接收信息的 一个隐私的邮箱有何意义? 再说IP是临时的 很少有人会有固定的IP 而且并不能根据IP获取到关于你的什么有效信息 你们就是太过敏感

[AyagawaSeirin]

你可能对隐私有什么误解

如果你们觉得IP和邮箱不属于隐私敏感数据，那当我没说好了。

邮箱是用于对外联系接收信息的 一个隐私的邮箱有何意义? 再说IP是临时的 很少有人会有固定的IP 而且并不能根据IP获取到关于你的什么有效信息 你们就是太过敏感

看来李彦宏说的没错，网民对自己的隐私毫不在意。
你就算是自己不在意自己的隐私，也要对访客、评论者的隐私负责

[stale]

This issue has been automatically marked as stale because it has not had recent activity. It will be closed if no further activity occurs. Thank you for your contributions.

[yzero1]

公安备案填表要检查是否有这些信息泄露的