discord認証におけるユーザー情報取得に関する問題

[tosaken1116]

discord認証においてユーザーが参加するサーバーをすべて取得していますが、認証が必要なサーバーにdiscord botを招待して
https://discordapp.com/api/guilds/{guild_id}/members
にクエリを送ればサーバーに参加しているユーザーをすべて取得できます

サーバー参加者の中には参加しているサーバーがバレたくない人もいると考えるとこちらの方がいいのではないかと思います

[Simo-C3]

これをやるとサーバーが増えた時に各サーバーのメンバーをヒットするまで取得して、比較しなくてはいけないため、今後サーバーが１年おきに増えることを考えると、リクエスト数と計算量が多くなってしまうことが懸念されます。現在の実装ではユーザーが所属しているギルドIDを取得して（保持はしていない）、規定値（設定したC3鯖のID）と比較するだけなので、ユーザーの所属している鯖の情報が漏れることは限りなく低いと考えます。それらの情報がログとしてサーバーに残るようになっているかは把握できていないが、もしログにあるのであれば、権限ある人がそのログを漁り、IDから鯖を特定しない限りは大丈夫だと思います。権限を持つ人がそのようなことをしないということを信頼すれば、問題ないことかと思われます。