Discourse OpenID Connect (OIDC)

[david (David Taylor)]

有一个名为“allowed_internal_hosts”的站点设置。如果您将内部主机名添加到该列表中，那么 SSRF Detector 将允许对它的请求。

@davispuh

我认为因为 openid_connect_discovery_document 只能由管理员更改，所以它应该是可信的，并且允许私有 IP。

在共享托管服务（例如官方 discourse.org 托管）中，不信任管理员在托管环境中发出请求，这就是为什么默认存在此保护。