非利用者に対するユーザー作成コンテンツの公開範囲をすべて非公開にした時にユーザーページの表示が制限されない

[danominium]

💡 Summary

非利用者に対するユーザー作成コンテンツの公開範囲 を すべて非公開にしても表示が制限されない

コントロールパネルのモデレーション /admin/moderation にて
非利用者に対するユーザー作成コンテンツの公開範囲
を
すべて非公開
にした時に すべて公開 と同じように リモート/ローカル のユーザーページにアクセスできてしまう。

🥰 Expected Behavior

表示が制限される。

🤬 Actual Behavior

表示される

📝 Steps to Reproduce

1. 非利用者に対するユーザー作成コンテンツの公開範囲 を すべて非公開 に設定
2. リモートユーザーページを表示する
3. ローカルユーザーページを表示する

💻 Frontend Environment

* Model and OS of the device(s): ChoromeOS
* Browser: Chorome
* Server URL:
* Misskey: 2026.5.4

🛰 Backend Environment (for server admin)

* Installation Method or Hosting Service: k3s
* Misskey: 2026.5.4 docker image
* Node:
* PostgreSQL: postgres:18-alpine
* Redis: redis:7-alpine
* OS and Architecture: AlmaLinux release 10.2 (Lavender Lion) x86_64

Do you want to address this bug yourself?

• Yes, I will patch the bug myself and send a pull request

[dosubot]

この設定について調査しました。

内部的には ugcVisibilityForVisitor という名前で管理されており、アクセス制御自体は一部動作していますが、'none'（すべて非公開）の場合に問題があります。

users/show エンドポイントのコードを見ると、ugcVisibilityForVisitor === 'none' のチェックがコメントアウトされています [1]：

// ログイン時にusers/showできなくなってしまる
//if (this.serverSettings.ugcVisibilityForVisitor === 'none' && me == null) {
//	throw new ApiError(meta.errors.noSuchUser);
//}

ログインフロー中に users/show が呼ばれるため、'none' の制限を有効にするとログイン自体ができなくなってしまうという理由で無効化されています。

一方、'local'（ローカルコンテンツのみ公開）に設定した場合は、リモートユーザーへのアクセスはブロックされますが、エラーメッセージが NO_SUCH_USER になるため、制限されているのか存在しないのか区別がつかないというUXの問題があります [2]。

関連する Issue #17540 でも同様の問題が報告されており、メンテナーの方が確認済みです [3]。

つまり、現状では：

• 'none' 設定: ユーザープロフィールへの制限が実質的に機能していない（ログインフローとの競合のため意図的に無効化）
• 'local' 設定: リモートユーザーはブロックされるが、エラーメッセージが不適切

ノートの表示（notes/show）については PR #16527 で正しく CONTENT_RESTRICTED_BY_SERVER エラーを返すよう修正済みですが [4]、users/show にはまだ同等の修正が適用されていない状態です。

To reply, just mention @dosu.

---

Share context across your team and agents. Try Dosu.