Могут ли миниатюры Microsoft Graph API быть частными?
В настоящее время я изучаю API MS Graph для небольшого приложения, которое создаю, и меня немного беспокоит способ обработки эскизов:
Я понял, что при получении эскизов из изображений, которые находятся на диске на частном диске Sharepoint или Onedrive (то есть за аутентификацией), эти эскизы размещаются и доступны для всех.
Так, например, когда я запускаю такой запрос:
https://graph.microsoft.com/v1.0/groups/${groupId}/drive/root/children?$expand=thumbnails
Я получаю JSON с набором миниатюр. ВwebUrl свойство этих миниатюр выглядит примерно так https://westeurope1-mediap.svc.ms/transform/thumbnail?provider=spo&inputFormat=png&cs=298h29h...
К этому URL может получить доступ кто угодно без аутентификации.
Когда я погуглил это, я обнаружил только проблему на GitHub, которая описывает это как функцию:https://github.com/microsoftgraph/microsoft-graph-docs/issues/135
Но мне интересно: разве это не серьезная проблема безопасности, поскольку это делает содержимое потенциальных личных изображений и файлов внезапно общедоступными? И есть ли способ отключить это / изменить запрос, чтобы эскизы требовали аутентификации?
URL-адрес может быть очень загадочным из-за очень длинного идентификатора в конце, но ИМХО, это больше похоже на подход к безопасности за счет непонятности.