Безопасность почтового индекса

Привет, Discourse!
Редакция: Раньше я задавал свой вопрос по адресу Posting code or preformatted text.

В нашей версии Discourse с собственным хостингом перед установкой стоит WAF. По умолчанию в нём действуют более строгие правила, из-за чего иногда пользователям не удаётся создать пост с отформатированным кодом. Например, правки, содержащие строку /etc/init.d, воспринимаются как угроза безопасности. Мой вопрос: как сама функция преформатированного текста обеспечивает защиту от XSS-атак или других атак через код? Или ядро Discourse защищает отправляемый код, предотвращая проблемы с безопасностью? Могу ли я безопасно разрешить все посты, содержащие фрагменты кода, чтобы затем настроить правила WAF?

/etc/init.d/aaa.local Compatibility

Спасибо!

Discourse защищает от XSS в постах, используя несколько уровней защиты.

Включая:

  • CSP
  • Специальную библиотеку, которая пропускает только определённые теги
  • Обработку markdown (преобразование из MD в HTML) в изолированной среде.

Мы относимся к вопросам безопасности чрезвычайно серьёзно. Подробнее об этом можно прочитать по адресу: HackerOne

Ваш WAF не должен выполнять блокировку подобного рода.