원격 콘텐츠, PII 및 핫링크

제품 지원
1

안녕하세요 여러분, 이 플랫폼을 정말 좋아합니다. 원격 콘텐츠 위치를 제어하는 방법에 대해 조언을 구하고 있습니다.

예를 들어, 신뢰할 수 없는 리소스가 로드되는 것을 금지하고 싶습니다. 제가 사용할 수 있는 예시로는 jpg 파일이 있는데, 이 이미지 " "는 실제로 jpg 파일이 아니지만 모든 뷰어가 자신의 IP 주소를 노출하게 되며, 그보다 덜 중요하지만 사용자 에이전트 정보도 노출됩니다.

저는 렌더링될 콘텐츠의 업로드만 허용하고, YouTube나 일반적인 온라인 저장 플랫폼과 같은 일부 도메인은 예외로 두기를 원합니다.

이것이 현재 버전의 Discourse에서 가능한가요? - 저는 이 포럼을 인터넷 포렌식 목적으로 사용할 예정이며, 이러한 방식과 프로필 콘텐츠 위치에서 이러한 PII 유출을 완화할 방법이 있다면 목적에 완벽하게 부합할 것입니다.

감사합니다!

저는 canary tokens(http://canarytokens.com/)를 사용하여 가짜 jpeg를 만들었고, 이를 마크다운 이미지 형식으로 감쌌습니다.

2

원격 콘텐츠의 복사본을 다운로드하여 핫링크를 방지하며, JPG가 핫링크로 사용될 수 있는 시간은 매우 짧습니다.

그럼에도 불구하고, 핫링크된 이미지를 다운로드하는 동안 이미지를 “다운로드 중” 이미지로 대체할 수 있는 옵션을 Discourse에 추가하는 것에 반대하지 않습니다.

3

샘, 시간 내주셔서 감사합니다. 로그에서 ruby user agent를 확인할 수 있는데, 누군가가 제 프로필을 조회하면 조회자의 IP를 받을 수 있습니다. 앱 전체 영역에 걸쳐 fetch/middleware가 글로벌로 적용되지 않는 건가요?

단기적으로는 content security policy로 해결할 수 있을 것 같지만, 그 사이에는 상황이 파악될 때까지 UX가 좀 엉망이 되겠네요, 하하.

시간 내주시고 의견 주셔서 감사합니다!

4

자기소개 섹션에 이미지를 핫링크로 넣은 경우를 말씀하시는 건가요?

그것은 분명히 허용해서는 안 되며, 버그라고 생각합니다.

7

샘, 네 맞아요. 이 경우에는 마크다운 명령어 ![]()로 원격 이미지를 호출합니다. 아직 파워 유저는 아니라서 원격 콘텐츠를 호출하는 다른 지원 방식이 있는지 잘 모르겠지만, 한번 시도해 보세요. 제 프로필의 ‘자기소개’ 영역에 넣었거든요.

'신규 사용자는 X를 할 수 없다’는 제한도 이 영역에는 적용되지 않는 것 같습니다.