‘차단된 원박스 도메인’ 설정이 적용되지 않음

dschaper · 2월 16, 2022, 9:35오후

blocked onebox domains는 2.9.0beta2 (c6265eec6b)에서 무시됩니다.

현재 상태는 다음과 같습니다:

해당 도메인들은 OAuth 벽 뒤에 있으며, onebox가 도메인을 미리보기하려고 시도할 때 OAuth 로그인 URL을 가져오게 됩니다.

supermathie · 2월 16, 2022, 11:01오후

해당 설정은 서버에서만 적용됩니다 — 브라우저는 여전히 미리보기에 onebox를 시도합니다.

이 부분이 예상과 달라 당황스러울 수 있다는 점은 이해합니다.

게시글을 제출하면, 서버가 렌더링한 후 onebox가 표시되나요, 아니면 예상대로 일반 URL만 표시되나요?

dschaper · 2월 17, 2022, 12:08오전

댓글이 게시되면 원박스(onebox)로 표시됩니다:

supermathie · 2월 17, 2022, 12:14오전

네, 이게 제대로 작동하지 않는 것 같네요…

nat · 2월 17, 2022, 1:09오전

차단된 onebox 도메인 설정에 "auth.pi-hole.net"을 추가해 보시겠어요?

이 설정은 리다이렉트를 따르도록 만들어졌지만, 지정된 도메인이 최종 목적지인 경우에만 차단합니다.

dschaper · 2월 17, 2022, 1:15오전

방금 테스트해 봤는데 여전히 onebox 처리가 됩니다. auth.pi-hole.net 엔드포인트가 github.com의 OAuth 엔드포인트에서 URI 리다이렉트로 인해 그런 것 같습니다. 우리는 github.com을 onebox 처리에서 차단하는 것을 원하지 않습니다.

github.com을 차단하면 어떤 영향이 있는지 확인해 보겠습니다… 아니, github.com을 차단해도 onebox 처리가 방지되지 않습니다. tricorder에 대해 새로운 조회가 이루어지도록 onebox가 사용 중인 캐시를 지워야 하는 것이 있을까요?

nat · 2월 17, 2022, 1:55오전

그 이유를 충분히 이해합니다.

가져온 원박스 URL에 대해 1일간의 캐시가 있으므로, 1일 후 게시물을 수동으로 다시 베이킹(post.rebake!)하면 github.com이 차단된 상태에서의 원박싱을 방지할 수 있습니다.

인증 리다이렉트에 대해 더 지능적으로 처리할 작업이 백로그에 남아 있지만, 이는 Discourse 포럼 인증에만 적용됩니다. github의 경우 이 설정을 서브디렉터리 허용으로 확장하면 이 문제를 해결하는 데 도움이 될 것 같다고 생각합니다: https://github.com/login/oauth/authorize … 내부적으로 이 문제에 대해 논의해 보겠습니다.

힌트 텍스트가 실제로 무엇이 차단되는지 구체적으로 명시하는 것도 좋을 것 같습니다. 예를 들어, "Onebox는 리다이렉트를 따르며 최종 목적지가 이 설정과 일치하는 경우에만 차단합니다"와 같은 추가 문장을 넣는 것입니다.

sam · 2월 17, 2022, 2:27오전

황당한 아이디어일지도 모르지만… 다음을 지원해야 할까요?

cache-control: no-store

no-store 응답 지시어는 모든 종류의 캐시(개인용 또는 공유용)가 이 응답을 저장하지 않아야 함을 나타냅니다.

GitHub는 특히 … 제발 … 저를 저장하지 말라고 하고 있습니다 …

아마도 onebox가 이를 존중하고 … 저장하지 않는 것이 좋겠습니다.

처음에는 실험적 설정으로 만들어 보고 어떤 영향을 미치는지 살펴볼 수 있습니다.

미리보기에서는 왜 oneboxing을 하지 않는지 설명해야 합니다.

참고… 우리는 여러 곳에서 no-store를 사용하고 있지만, 그런 경우 리다이렉트하는 것으로 생각합니다. 다만 약간의 복잡성이 있습니다.

github.com/discourse/discourse

spec/requests/topics_controller_spec.rb

a0c65e91d


      
          it 'correctly renders canonicals' do
            get "/t/#{topic.id}", params: { slug: topic.slug }
          
            expect(response.status).to eq(200)
            expect(css_select("link[rel=canonical]").length).to eq(1)
            expect(response.headers["Cache-Control"]).to eq("no-cache, no-store")
          end

dschaper · 2월 17, 2022, 8:15오후

다양한 저장소의 PR과 이슈에 대한 링크를 많이 사용하며, 미리보기와 함께 원박스(onebox)로 표시되면 신규 사용자가 GitHub에 접속하지 않고도 해당 주제가 무엇인지 바로 파악할 수 있습니다.

sam · 2월 17, 2022, 8:56오후

네, 충분히 이해합니다. 해결책을 마련하고 있으며, 하루 정도 뒤에 no-store 헤더를 확인하는 것이 가장 좋은 방법일 것 같습니다.

dschaper · 2월 28, 2022, 7:57오후

부탁이긴 하지만, 이 문제가 저희 지원 사이트를 정말 많이 방해하고 있어서 다시 올립니다. 사람들이 자격이 있는 직원이 검토할 수 있도록 트러블슈팅 로그를 위한 트라이코더 URL 링크를 게시하고 있습니다. 하루에 이런 게시글이 여러 건 올라와서, 현재로서는 수동으로 들어가서 링크를 비링크로 변경해야 하는 상황입니다.

해결 시기에 대한 예상이나, 아니면 그냥 "곧™"인가요?

sam · 2월 28, 2022, 8:21오후

이 문제를 해결하겠습니다. 대략 앞으로 4주 정도 소요될 것으로 보입니다.

GreenOWL · 3월 10, 2022, 3:21오후

Discourse Docker에서 어떻게 해야 하나요?

sam · 3월 11, 2022, 12:22오전

우리의 수정 사항이 적용될 때까지 기다리는 것을 권장합니다. 현재 진행 중인 PR이 있습니다:

github.com/discourse/discourse

FIX: Apply onebox blocked domain checks on every redirect (#16150)

main ← fix/onebox-check-blocked-domain-on-redirect

merged 06:18AM - 11 Mar 22 UTC

OsamaSayegh

+171 -38

The `blocked onebox domains` setting lets site owners change what sites are all…owed to be oneboxed. When a link is entered into a post, Discourse checks the domain of the link against that setting and blocks the onebox if the domain is blocked. But if there's a chain of redirects, then only the final destination website is checked against the site setting. This commit amends that behavior so that every website in the redirect chain is checked against the site setting, and if anything is blocked the original link doesn't onebox at all in the post. The `Discourse-No-Onebox` header is also checked in every response and the onebox is blocked if the header is set to "1". Additionally, Discourse will now include the `Discourse-No-Onebox` header with every response if the site requires login to access content. This is done to signal to a Discourse instance that it shouldn't attempt to onebox other Discourse instances if they're login-only. Non-Discourse websites can also use include that header if they don't wish to have Discourse onebox their content. Internal ticket: t59305.

이 PR은 동작 방식을 다음과 같이 수정합니다:

리다이렉트 체인의 모든 홉에서 차단 목록(blocklist) 검사를 수행합니다.
커스텀 헤더를 설정하여 원박스(oneboxing) 기능을 비활성화할 수 있는 새로운 기능을 도입합니다.

이를 통해 @dschaper 님의 문제가 해결되고, 향후 더 많은 유연성을 확보할 수 있습니다.

불행히도 no store를 사용하면 범위가 너무 넓어져 너무 많은 오탐(false positive)이 발생할 것입니다.

Osama · 3월 11, 2022, 6:50오전

PR이 병합되어 tests-passed 브랜치에 있습니다. @dschaper를 업그레이드해서 문제가 해결되는지 확인해 주시겠어요? tricorder.pi-hole.net 도메인을 가진 URL은 더 이상 여러분의 사이트에서 원박스(onebox) 처리되지 않아야 합니다.

dschaper · 3월 14, 2022, 10:15오후

여기서는 모두 정상적으로 보입니다!

수정해 주셔서 감사합니다.

글		댓글	조회수
"blocked onebox domains" doesn't work Bug	5	607	1월 23, 2023
How can I stop onebox redirection? Feature	15	2256	12월 17, 2019
Allow sub-domains from blocked domain to onebox Product Support onebox	7	627	10월 13, 2023
Configuring and troubleshooting oneboxes Site Management onebox , how-to , content	2	2940	6월 26, 2026
Onebox no longer works for my wordpress site Product Support	11	1897	6월 12, 2017

‘차단된 원박스 도메인’ 설정이 적용되지 않음

Related topics