Нужна вычитка этого совета по использованию предпросмотра темы

Разработка
1

Помогая другому администратору на нашем сайте, я дал следующий совет, но не уверен, что он на 100% верен. Те, кто разбирается в этом, пожалуйста, проверьте его и сообщите, есть ли в нём ошибки.

Контекст: использование кнопки предварительного просмотра темы.

Поскольку темы — это просто CSS и JavaScript, которые выполняются после того, как текст поста возвращён из SQL-запроса, и они не обновляют базу данных, насколько мне известно, это абсолютно безопасно. Хуже всего, что вы можете сделать, — это нарушить отображение единственной HTML-страницы, которую вы просматриваете.

2

К сожалению, темы не на 100% безопасны. Предпросмотр будет работать в контексте учетной записи администратора и может выполнять AJAX-запросы к различным маршрутам.

Злоумышленник может нанести значительный ущерб с помощью темы. Это будет очевидно при просмотре исходного кода, но технически это возможно.

3

Спасибо,

Я должен был уточнить контекст: он форкает тему Связывание слов в сообщении, чтобы она работала с справочным руководством по Prolog. Таким образом, при использовании индикатора предиката ([module:]name{/|//}arity?) будет создаваться прямая ссылка на предикат, например, append/3.

Я не вижу признаков вредоносных AJAX-вызовов, но приятно знать, на что обращать внимание при скачивании тем, созданных другими людьми. :smiley:

Обсуждение разработки компонента ведется в публичном сообщении для всех заинтересованных.