Misskey GitHub Notifier @p1.a9z.dev(@repo@p1.a9z.dev)の投稿 misskey-dev/misskeyのIssue, プルリクエスト, コミットなどのイベントを逐次投稿します。
Post every issue, pull request, commit and other events on misskey-dev/misskey.
Managed by @aqz
Bot Source Code (forked): https://github.com/tamaina/misskey-github-notifier
💬 Commented on "効果音などのアセットのライセンスを変更してほしい": grj1234 "完全にoff-topicになってしまいますが、このIssueに関して謝罪させてください。
このIssueはmisskey-devへの嫌がらせのために立てたものであり、意味のあるIssueではありません。
したがって、このIssueはCloseとします。
ご迷惑をおかけして申し訳ありませんでした。"
https://github.com/misskey-dev/misskey/issues/11098#issuecomment-2456068893
💥 Issue opened: #14888 "ローカルユーザーが誰もフォローしていないリモートユーザーの投稿を拒否する機能"
https://github.com/misskey-dev/misskey/issues/14888
💬 Commented on "enhance: metaをHTMLに埋め込むかどうかを設定で変更できるように": kakkokari-gtyih "staled・想定されていない運用方式なので一旦なしで"
https://github.com/misskey-dev/misskey/pull/14369#issuecomment-2456315074
💬 Commented on "Release: 2024.10.2": mei23 "> Fix: Turnstileが失敗・期限切れした際にも成功扱いとなってしまう問題を修正
> (Cherry-picked from https://github.com/MisskeyIO/misskey/pull/768)
これの問題は、クライアント側でTurnstileが成功したように見えてサインアップ (始める) ボタンが押せてしまうだけで
サーバー側でTurnstileのverifyが行われて結局サインアップは失敗するはずなので
この問題によって通るべきではないものが貫通してしまう訳ではないと思ってるのだわ。(未検証)"
https://github.com/misskey-dev/misskey/pull/14818#issuecomment-2456703258
💥 Issue opened: #14921 "新規アカウント作成時のバリデーションが行われていない？"
https://github.com/misskey-dev/misskey/issues/14921
💥 Issue opened: #14922 "犬になれる機能"
https://github.com/misskey-dev/misskey/issues/14922
💬 Commented on "犬になれる機能": fruitriin "犬っぽい訛りがなんなのか、私の中でしっくりくるものがない（語尾にワンは安直すぎる気がする
いいものがあったら提案していくと機運が高まるのではないか"
https://github.com/misskey-dev/misskey/issues/14922#issuecomment-2465955330
💥 Issue opened: #14935 "オブジェクトストレージの設定画面での設定の正しさ確認機能がほしい"
https://github.com/misskey-dev/misskey/issues/14935
💬 Commented on "Release: 2024.11.0": syuilo "リリースするか"
https://github.com/misskey-dev/misskey/pull/14924#issuecomment-2467371905
💯 Pull Request Merged!: "update node to 22.11.0"
https://github.com/misskey-dev/misskey/pull/14869
💬 Commented on "Missing global per-ip rate limit leads to service abuse": KisaragiEffective "はっきり言ってこのアイデアは気に入らないです。
荒らしが大変というのであればIPアドレスという原理的に可変なものによっていたずらに制限を増やすよりも、発信内容によって制限するべきだと考えています。
一般に、私は荒らし対策というもの。その一部は https://github.com/shrimpia/great-ebichiri-wall に見られるActivityPubのパケットに介入して条件付きでパケットを捨てるものや、 #13210 (#13207) に見られるようにすでに全世界のサーバーで使える機能としてその地位を築いてきました。
「偽陽性率ができるだけ低くなるような防御方法」という点において、このissueは少し考えればわかるような欠点を抱えています。一番大きな点は変動IPアドレスや共有IPアドレスについて全く考えられていないことです。一般にIPアドレスと言っても、IPv4アドレスとIPv6アドレスの2種類が存在し、全世界において広く普及しているのはIPv4アドレスになるであることは自明に了解されるものかと思います。現時点のIPv4アドレスの割当はISPのポリシーによっても異なりますが、時間帯によって異なるエンドユーザーへ割り当てられたり、NATのように終端がISP側のゲートウェイだったり、ルーターの電源を消すと違うIPアドレスが割り当てられたりといつまでも同じIPアドレスで有り続けるケースのほうが少ないです。IPv6アドレスであればCIDR記法における/64以下がランダムに割り当てられるケースが多いためなおのことそうですが、日本以外ではIPv6網があまり普及していないためここでは考えないことにします。
話を戻すと、そのような切迫したIPv4アドレス空間の運用においてIPアドレスが頻繁に変わるため、特定のIPアドレスをキーとすることは無意味です。無意味どころか、マンションやアパートなどのケースにおいてNATまがいのことが行われていた場合にはNATより終端側の潜在的な利用者が無実の罪で利用を制限されることに繋がります。
そういったケースをよく理解しないままこの機能を有効にする管理者は多いのではないでしょうか？私はMisskeyのUIやmisskey-hubの説明不足が解消されない限り、こういった諸刃の剣の防御機能には賛同できません。潜在的に必要な管理者が居る可能性があるのは同意しますが、Misskey本体に導入するにはリスクが大きいと考えます。"
https://github.com/misskey-dev/misskey/issues/14951#issuecomment-2475308829
💬 Commented on "Missing global per-ip rate limit leads to service abuse": ThisIsMissEm "Whilst I'm aware that IP rate limiting isn't the pinnacle of security, it's certainly a low cost measure. If the limit is say 2000 request's within a 5 minute window, that'd allow an apartment with NAT to have 500 requests per person assuming 4 people all use the exact same Misskey server.
But right now Misskey's approach is not mitigating spam and flood attacks, so *something* must be done to improve that situation.
Increasing difficulty of attacks is one such measure. You could also do a global limit on posting or the hemming distance between recent posts.
However, Misskey should not become synonymous with spam from japanese script kiddies fighting like the school children they are over discord servers.
--
IPレート制限はセキュリティの頂点ではないことは承知していますが、確かに低コストの手段です。制限が5分間のウィンドウ内に2000件のリクエストの場合、4人全員がまったく同じMisskeyサーバーを使用していると仮定すると、NATのあるアパートで1人あたり500件のリクエストが可能になります。
しかし、現在、Misskeyのアプローチはスパムや洪水攻撃を緩和していないため、その状況を改善するために*何か*を行わなければなりません。
攻撃の難易度を上げることは、そのような手段の1つです。また、投稿のグローバル制限や、最近の投稿間のヘミング距離を設定することもできます。
しかし、ミスキーは、不和サーバーを介して学童のように戦う日本のスクリプトの子供たちからのスパムの代名詞になるべきではありません。"
https://github.com/misskey-dev/misskey/issues/14951#issuecomment-2475988872
💬 Commented on "Missing global per-ip rate limit leads to service abuse": tai-cha "> But right now Misskey's approach is not mitigating spam and flood attacks, so something must be done to improve that situation.
At this point, the fix on https://github.com/misskey-dev/misskey/pull/14811 (already released in alpha) should improve the problem.
(One thing to bear in mind is that the attackers' main base of operations is Japan, where Misskey is preferred over other countries. Some of the servers under attack have also stopped updating altogether. It is already possible to limit the rate limit per actor on a role-by-role basis.)"
https://github.com/misskey-dev/misskey/issues/14951#issuecomment-2476024964
💬 Commented on "リノート用ページなどを直接表示するとjsonしか見えない場合がある?": kakkokari-gtyih "> content-application headerが変になると変になるかもという超エスパー
`accept: application/activity+json`なクライアントがデータを取りに来る→それをCFがキャッシュしてしまう
みたいな現象かと
こういうCache Ruleを置けば良さそう"
https://github.com/misskey-dev/misskey/issues/14969#issuecomment-2480486422
🍴 Forked by dampuzakura
📦 New Pull Request: "fix(backend): URLをデコードしてからリクエストを送信するように"
https://github.com/misskey-dev/misskey/pull/15015
💬 Commented on "Inboxのジョブキューがつまり、Waitingが増加する": EbiseLutica "mk.shrimpia.networkでも再現しました。0:00周辺を皮切りによく落ちるのでなんでかなと思いログを見たところ、workerがキャッチしていない例外で落ちているのを観測したため、ログを添付いたします。おそらく #14497 関連かなぁ…
https://pastebin.com/qTHHpqMf"
https://github.com/misskey-dev/misskey/issues/14524#issuecomment-2492824784
💬 Commented on "2024.11.0 RSSリーダーウィジェットが使えない": kakkokari-gtyih "Duplicate of #15014 "
https://github.com/misskey-dev/misskey/issues/15029#issuecomment-2493570131
💥 Issue opened: #15039 "2024.11.0でurlとuriのドメインが違うノートが読めない"
https://github.com/misskey-dev/misskey/issues/15039
📦 New Pull Request: "fix: unable to upload to local object storage"
https://github.com/misskey-dev/misskey/pull/15040
💯 Pull Request Merged!: "fix(backend): アドレス入力で直接ユーザのプロフィールページを表示した際、前提データが足りず描画に失敗する"
https://github.com/misskey-dev/misskey/pull/15033
📦 New Pull Request: "Release: 2024.11.1"
https://github.com/misskey-dev/misskey/pull/15058
💬 Commented on "管理者/モデレーターはブロックされていてもユーザーページで投稿を見れるように": sakuhanight "以下、1ユーザーとしての個人的な意見表明です。
管理者・モデレーターも一人のユーザーとして、ブロック機能の対象に含めるべきだと考えます。
少人数運営サーバーと法人運営サーバーでは事情が異なるため一概に言えることではありませんが、管理者を信用できないものの、コミュニティや情報アクセスのため、そのサーバーを利用せざるを得ないケースも存在します。
「管理者をブロックするくらいならそのサーバーにいなければよい」という考え方もありますが、現実には、他に代替手段がないサーバーも存在します。例えば、ある分野の専門家が集まるサーバーや、地域の情報交換を目的としたサーバー、ユーザー数が特別に多いサーバーなどです。
ブロック機能は、ユーザーが自分の情報をコントロールするための重要な手段であり、プライバシー保護の観点からも必要不可欠です。管理者だからといって例外とするのではなく、すべてのユーザーに公平に適用されるべきと考えます。
なお、スパムなどで、明らかに悪意を持って管理者による閲覧を妨害するようなケースにおいては、十分にユーザーのプライバシーに配慮した上で緊急避難的手段を用いるべきだと考えます。もし、そのような機能を実装するのであれば、sudoコマンドのような警告文を設けるべきと考えます。"
https://github.com/misskey-dev/misskey/issues/7734#issuecomment-2499788525
💬 Commented on "リアクションだけブロック機能": mattyatea "この機能を実装すると一般のユーザーが情報の統制などをできるなどのリスクが発生する可能性があると思います。
変わりに自分だけが見えなくなるだけのリアクションミュートなどの実装を進めたほうが良いのではと思います。"
https://github.com/misskey-dev/misskey/issues/14987#issuecomment-2501234672
📦 New Pull Request: "frontend: リモートユーザーのユーザーページではクリップなどの連合しないものを表示できないように"
https://github.com/misskey-dev/misskey/pull/15064
💬 Commented on "Better db replication support": syuilo "レプリケーション使うような大規模サーバーはフォークしそうな気がするからMisskeyがレプリケーションを積極的にサポートする必要性は薄い可能性がある"
https://github.com/misskey-dev/misskey/issues/10897#issuecomment-2508844676
