https://github.com/xpressengine/xe-core/pull/1964
제가 최근에 XE타운에서 목격한 비밀글인데 내용이 여전히 보이는 문제와 연관된 건가요 ?
사이트문의에 제가 문의했던 내용인데요.
작성자가 처음에 공개로 했다가 비공개로 전환한 경우 공개일때 본 사람은 로그아웃 하기 전까지 비밀글 내용이 다 보인다고 답변을 받았는데요. 이게 이 패치와 관련이라면 좀 문제가 있긴 한데
뭐 어차피 이미 본사람이라 별 생각기 없다고 생각하시는 분이 있을테지만
민감한 내용이 잠시 짧은 시간 노출되었다라도 다시 비밀글로 전환되면 다시 정보가 노출되지 않아야 한다고 생각하는 분도 있을 겁니다.
정보내용이 조금 긴 비밀스러운 댓글의 경우 빠르게 비밀글 체크 후에는 다시 비밀이 보장되는게 맞는거 같긴한데요.
제가 사이트문의에 남기고 받은 답변이 사실 납득이 가지 않아서요.
해당 패치는 동일 페이지 내에서 getGrant()를 반복 호출하는 것만 막아줍니다. 일부 위젯이나 게시판 스킨에서 저걸 한 페이지당 수십 번씩 반복 요청하거든요.
별도의 캐시에 저장하는 것이 아니라 클래스 속성으로 저장할 뿐이므로, 페이지 요청이 끝나면 캐시도 사라집니다. 따라서 아까 읽었던 글을 다시 읽는 경우에는 해당되지 않습니다.
비밀글이 아니었던 글이 비밀글로 변경된 경우 세션에 남아 있더라도 권한을 다시 체크하도록 하려면 별도로 패치가 필요할 듯 합니다.
그럼 제가 저희 사이트에서는 사례를 목격하지 못해 모르고 있었던 내용이네요. 저희는 민감한 정보를 비밀댓글로 많이 주고 받거든요.... 제가 권한있는 계정으로 늘 보다보니 회원분들 중에서는 비밀댓글이 보여지는 현상을 목격한 분도 많았을거라 생각되어지네요.
세션을 그대로 사용하되, 댓글이 수정되어 last_update 값이 바뀌면 세션에 저장해둔 값을 무효화하도록 수정했습니다.
https://github.com/rhymix/rhymix/commit/6df32746c339242a6adf422bd32fff182198c5fe
이거 원래 있었던 겁니다. 저도 이거때문에 늘 문의 많이 받아요
한번이라도 그 대글을 보면 세션에 권한이 남는 문제 때문에 당연히 보이는게 맞다고 하더군요
로그아웃하면 그래서 안보이는 거구요
빨리 비밀글로 보여지길 바라는 사람은 비밀글 체크한 사람이고 비밀글로 보려면 열람하는 사람이 굳이 로그아웃을 해야 하는건데요. 논리적으로 굉장히 이해하기 어려운 상황입니다.
이미 게시자 실수로 일부를 봤더라도 게시자가 다시 비밀글로 하고 싶다면 이게 반영이 빨리 되어야 하는거 아닐까요 ? 전부 봤다고 치부하기엔....
