¿Orientación sobre la lista blanca de atributos HTML arbitrarios?

No entiendo esta solicitud. ¿Quieres que los usuarios promedio puedan inyectar JavaScript arbitrario en tu Discourse simplemente publicándolo en una respuesta? Esto sería una pesadilla de seguridad.