Linee guida per l'approvazione di attributi HTML arbitrari?

Non capisco questa richiesta. Vuoi che utenti medi possano iniettare JavaScript arbitrario nel tuo Discourse, semplicemente pubblicandolo in una risposta? Sarebbe un incubo per la sicurezza.