任意用户可查看任意评论者信息

Created by: cnskis

是什么版本出现了此问题？

1.4.17

使用的什么数据库？

H2

使用的哪种方式部署？

Fat Jar

在线站点地址

blog.shikangsi.cn

发生了什么？

在文章页有如下请求：https://blog.shikangsi.cn/api/content/posts/1/comments/tree_view?pages=0&page=0&sort=&size=5&total=0 该请求暴露评论者所有信息 初步查看，在run.halo.app.repository.base.BaseCommentRepository#findAllByPostIdAndStatusAndParentId(java.lang.Integer, run.halo.app.model.enums.CommentStatus, java.lang.Long, org.springframework.data.domain.Pageable) 使用了findAll，返回所有字段。 建议只返回部分信息，或者置空email、ipAddress、authorUrl三个字段

相关日志输出

No response

附加信息

No response