Orientação sobre whitelist de atributos HTML arbitrários?

Não entendo essa solicitação. Você quer que usuários comuns possam injetar JavaScript arbitrário no seu Discourse, simplesmente postando-o em uma resposta? Isso seria um pesadelo de segurança.