nathank
10 Giugno 2026, 3:14am
1
Sto notando che, quando è attiva l’anteprima PDF, cliccare sul link del PDF tenta di scaricarlo (comportamento indesiderato) invece di aprirlo in una nuova scheda.
Ciò avviene in un’installazione self-hosting semplice (singolo contenitore, senza CDN, senza S3).
Tutto questo è stato affrontato qui:
david:
Questo dovrebbe essere risolto da SECURITY: Download allowlist for uploaded files · discourse/discourse@9c0642a · GitHub
Ora disponiamo di una logica centralizzata per determinare quali file devono essere visualizzati «inline». Ciò significa che i PDF vengono visualizzati in modo coerente in linea, mentre alcuni tipi di file meno sicuri vengono sempre forniti come download. Queste modifiche dovrebbero funzionare su tutti i tipi di archiviazione dei file (locale e S3, con o senza CDN).
1 Mi Piace
C’era una mancanza di coerenza nel tipo display a seconda che si utilizzasse S3 o meno. Questo dovrebbe essere risolto da
main ← fix-inline-safe-uploads-local-store
opened 02:09PM - 10 Jun 26 UTC
Inline-safe uploads (images, PDFs, audio and video) served from the local file s… tore were sent with `Content-Disposition: attachment`, so clicking a PDF link downloaded the file instead of opening it in the browser. This was inconsistent with the S3 store, which already serves these files inline via `FileStore::S3Store.content_disposition_for`, and it left simple self-hosted (single-container, no S3/CDN) sites unable to open PDFs inline.
The cause was in `UploadsController#send_file_local_upload`: it only set the disposition to `attachment` for unsafe types, and to `inline` when `?inline=1` was passed, leaving it unset otherwise. Rails' `send_file` defaults an unset disposition to `attachment`, so inline-safe files fell through to a download.
This serves inline-safe files with `Content-Disposition: inline` by default, mirroring the S3 store. The `attachment` disposition and the `sandbox;` Content-Security-Policy header are now scoped to the files that are actually forced to download: unsafe types (HTML, SVG, XML, ...) and explicit downloads (`?dl=1`). The redundant `params[:inline]` branch is removed, since inline-safe files are now served inline by default.
(cc @david )
Il fatto che cliccando su un file si apra automaticamente in un’altra scheda è più una domanda di tipo product
1 Mi Piace