هل يُعد السماح برفع ملفات HTML آمناً؟

بقدر ما أستطيع ملاحظته، يتم تنزيل ملفات HTML المرفوعة كملفات عادية (مثل الأرشيفات أو ملفات PDF)، لذا فإن الأمر متروك للمستخدم وإعدادات المتصفح (مثل الفتح التلقائي بعد التنزيل، وما إلى ذلك) لتحديد ما إذا كان سيتم فتحها أم لا.

لكن هذا الموضوع يشير إلى شيء يتعلق بـ XSS…

كما أفهم الأمر، لا توجد طريقة للتفاعل مع صفحة Discourse من الملف المُحمّل؟
لذا فإن أسوأ ما يمكن أن يفعله هو عرض نوع من محتوى التصيد الاحتيالي.

في رأيي، ليست فكرة جيدة.

Could you please elaborate why? :thinking:

للسبب نفسه تمامًا الذي يجعلك لا تريد ظهور روابط التصيد في مجتمع ما؟

ديسكورش ليس نظام رسائل فورية ولا مساحة تخزين ملفات، فلماذا تستخدمه فقط لتسهيل تحميل ملفات HTML؟ بالتأكيد من الأفضل استضافة الكود في مكان مثل GitHub.

في بعض الأحيان، يكون من الأكثر ملاءمة ببساطة رفع ملف HTML يُظهر مشكلة بسيطة وما إلى ذلك، وإذا كان الملف واحداً فقط فإن ضغطه في أرشيف ZIP يخلق صعوبات غير ضرورية.

المنتدى مخصص في الغالب للمطورين، لذا يجب افتراض أنهم يعرفون ما يفعلونه عند فتح الملف المُحمّل، وسيتعرفون على محاولات التصيّد، ولن يدخلوا أي كلمات مرور هناك، وسينذرون بسرعة، وما إلى ذلك.
لذا فإن القلق الوحيد هو ما إذا كان من الممكن استغلال أي ثغرات أمنية، مثل هجمات XSS، عند رفع ملفات HTML (مقارنة بأرشيفات ZIP التي تحتوي على ملفات HTML).

كخيار شخصي، أفضل عدم الاضطرار إلى تحميل أي ملفات على الإطلاق. فبدلاً من ذلك، أفضّل رؤية الكود مباشرة في المنشور. لذا، سؤالي هو…

هل هناك أي سبب يمنع إضافة HTML مباشرة في المنشورات ككتلة كود؟

<section>
  <h1>المقدمة</h1>
  <p>لطالما اصطاد الناس الأسماك من أجل الغذاء منذ ما قبل التاريخ المسجل...</p>
</section>

<section>
  <h1>المعدات</h1>
  <p>أول ما ستحتاجه هو قضيب صيد أو عمود تشعر بالراحة في استخدامه وقوي بما يكفي لنوع السمك الذي تتوقع اصطياده...</p>
</section>
...

بهذه الطريقة، سيظهر المحتوى فورًا، ولن يتطلب تحميل أي ملفات، ولن يشغل مساحة كبيرة في المنشور - نظرًا لأننا نفرض شريط التمرير على كتل الكود التي تتجاوز ارتفاعًا معينًا. بالإضافة إلى ذلك، لا توجد مخاطر أمنية على الإطلاق لأن الكود لن يتم تحليله أبدًا.

يمكنني التوسع في هذا الحل إذا كان يناسبكم.

نعم، أوافق على أنه من الأفضل عادةً فعل ذلك بهذه الطريقة، لكن في بعض الأحيان يفضل الأشخاص إرفاق الملفات، مثلًا عندما يكون حجمها كبيرًا جدًا، أو عندما يريدون إظهار مشكلة بصرية معينة (أسهل من النسخ واللصق في ملف جديد، إلخ).