「blocked onebox domains」設定が尊重されない

dschaper · 2022 年 2 月 16 日午後 9:35

blocked onebox domains は 2.9.0beta2 (c6265eec6b) で無視されます。

以下のようになっています。

これらのドメインは OAuth ウォールの背後にあり、onebox はドメインのプレビューを試みて OAuth ログイン URL を取得しています。

supermathie · 2022 年 2 月 16 日午後 11:01

その設定はサーバーでのみ有効です。ブラウザは引き続きプレビュー用のワンボックスを試みます。

これが予期しないものであることは理解できます。

投稿を送信すると、サーバーがレンダリングした後にワンボックスが表示されますか、それとも予想どおり生のURLが表示されますか？

dschaper · 2022 年 2 月 17 日午前 12:08

コメントが投稿されると、ワンボックスとして表示されます。

supermathie · 2022 年 2 月 17 日午前 12:14

はい、これは正しく機能していないようです…

nat · 2022 年 2 月 17 日午前 1:09

「auth.pi-hole.net」をブロック済みoneboxドメイン設定に追加してみてください。

この設定はリダイレクトを追跡するようにしましたが、最終的な宛先である場合にのみ指定されたドメインをブロックします。

dschaper · 2022 年 2 月 17 日午前 1:15

試したところ、まだワンボックス表示されます。これは、auth.pi-hole.net エンドポイントが github.com の OAuth エンドポイントからの URI リダイレクトであるためだと思います。また、github.com のワンボックス表示をブロックしたくはありません。

github.com をブロックしても何か影響があるか確認してみます… いいえ、github.com をブロックしてもワンボックス表示は防げません。tricorder の新しい検索が行われるように、ワンボックスが表示するキャッシュをクリアする必要があるのでしょうか？

nat · 2022 年 2 月 17 日午前 1:55

はい、その理由がわかります。

取得されたonebox URLには1日間のキャッシュがあるため、1日後に投稿を手動で再ベイクする（post.rebake!）と、github.comがブロックされた状態でのoneboxingを防ぐことができます。

認証リダイレクトをより賢く処理するための作業がバックログにありますが、それはDiscourseフォーラムの認証に限定されています。githubの場合に、設定をサブディレクトリにも対応できるように拡張することで、このケースに役立つと考えています：https://github.com/login/oauth/authorize…内部で議論します。

おそらく、実際にブロックされているものを具体的に示すヒントテキストも良いでしょう。おそらく、「Oneboxはリダイレクトをたどり、最終的な宛先がこの設定と一致した場合にのみブロックします」という追加情報も役立つでしょう。

sam · 2022 年 2 月 17 日午前 2:27

ワイルドなアイデアですが、サポートすべきでしょうか？

cache-control: no-store

no-store レスポンスディレクティブは、あらゆる種類（プライベートまたは共有）のキャッシュがこのレスポンスを保存してはならないことを示します。

GitHub は具体的に「保存しないでください」と言っています…

おそらく、onebox はそれを尊重し、保存しないべきです。

これは常に実験的な設定として開始し、影響を確認することができます。

プレビューでは、なぜ onebox を行わないのかを説明する必要があります。

注意… no-store はかなりの場所で使用していますが、それらの場合はリダイレクトしていると思いますが、このわずかな複雑さがあります。

github.com/discourse/discourse

spec/requests/topics_controller_spec.rb

a0c65e91d


      
          it 'correctly renders canonicals' do
            get "/t/#{topic.id}", params: { slug: topic.slug }
          
            expect(response.status).to eq(200)
            expect(css_select("link[rel=canonical]").length).to eq(1)
            expect(response.headers["Cache-Control"]).to eq("no-cache, no-store")
          end

dschaper · 2022 年 2 月 17 日午後 8:15

GitHub の様々なリポジトリから多くの PR や Issue にリンクしており、それらがワンボックスでプレビュー表示されることで、新しいユーザーは GitHub にアクセスせずにトピックの内容を把握できます。

sam · 2022 年 2 月 17 日午後 8:56

はい、完全に理解しています。解決策に取り組んでおり、1日後には、ストアがないヘッダーが最善の方法になると思います。

dschaper · 2022 年 2 月 28 日午後 7:57

申し訳ありませんが、これはサポートサイトに大きな影響を与えています。人々は、資格を持つスタッフが確認するためのトラブルシューティングログであるTricorderのURLへのリンクを投稿します。私たちは毎日これらの投稿を数件受け取っており、現時点ではURLをリンク解除するために手動で編集する必要があります。

解決までの期間の見込みはありますか、それとも「近日中™」ですか？

sam · 2022 年 2 月 28 日午後 8:21

この問題は解決します。今後4週間以内には解決するでしょう。

GreenOWL · 2022 年 3 月 10 日午後 3:21

Discourse Docker で行う方法は？

sam · 2022 年 3 月 11 日午前 12:22

修正が適用されるまで待つことをお勧めします。現在、PRが進行中です。

github.com/discourse/discourse

FIX: Apply onebox blocked domain checks on every redirect

main ← fix/onebox-check-blocked-domain-on-redirect

opened 12:09AM - 10 Mar 22 UTC

OsamaSayegh

+171 -38

The `blocked onebox domains` setting lets site owners change what sites are all…owed to be oneboxed. When a link is entered into a post, Discourse checks the domain of the link against that setting and blocks the onebox if the domain is blocked. But if there's a chain of redirects, then only the final destination website is checked against the site setting. This commit amends that behavior so that every website in the redirect chain is checked against the site setting, and if anything is blocked the original link doesn't onebox at all in the post. The `Discourse-No-Onebox` header is also checked in every response and the onebox is blocked if the header is set to "1". Additionally, Discourse will now include the `Discourse-No-Onebox` header with every response if the site requires login to access content. This is done to signal to a Discourse instance that it shouldn't attempt to onebox other Discourse instances if they're login-only. Non-Discourse websites can also use include that header if they don't wish to have Discourse onebox their content. Internal ticket: t59305.

これにより、次のように動作が変更されます。

リダイレクトチェーンのすべてのホップでブロックリストチェックを実行します。
顧客ヘッダーを設定することで、oneboxingをオプトアウトできる新機能が導入されます。

これにより、@dschaper の問題が解決され、将来的に柔軟性が高まります。

残念ながら、「no store」を選択すると、対象が広すぎて誤検知が多すぎます。

Osama · 2022 年 3 月 11 日午前 6:50

PRはマージされ、tests-passed ブランチにあります。@dschaper さんにアップグレードしてもらって、問題が解決するか確認してもらえますか？ tricorder.pi-hole.net ドメインの URL は、あなたのサイトでワンボックス表示されなくなっているはずです。

dschaper · 2022 年 3 月 14 日午後 10:15

すべて順調です！

皆さん、修正ありがとうございました。

トピック		返信	表示
"blocked onebox domains" doesn't work Bug	5	529	2023 年 1 月 23 日
How can I stop onebox redirection? Feature	15	2021	2019 年 12 月 17 日
Allow sub-domains from blocked domain to onebox Support onebox	7	534	2023 年 10 月 13 日
Onebox no longer works for my wordpress site Support	12	1691	2017 年 6 月 12 日
Disabling oneboxes Support	3	393	2023 年 1 月 23 日

「blocked onebox domains」設定が尊重されない

関連トピック