任意のHTML属性のホワイトリスト化に関するガイダンスはありますか?

このリクエストが理解できません。単に返信に投稿するだけで、平均的なユーザーが Discourse に任意の JavaScript を注入できるようにしたいということでしょうか?これはセキュリティ上の悪夢です。