Discourse OpenID Connect (OIDC)

[david (David Taylor)]

サイト設定に「allowed_internal_hosts」というものがあります。内部ホスト名をそのリストに追加すると、SSRF Detector を介してリクエストが許可されます。

@davispuh

openid_connect_discovery_document は管理者のみが変更できるため、信頼できるはずであり、プライベート IP も許可すべきだと思います。

共有ホスティングサービス（公式の discourse.org ホスティングなど）では、管理者はホスティング環境内でのリクエストを行うことが信頼されていないため、この保護がデフォルトで存在します。