- Expédié
- 6 août 2026 à 13:06 UTC
- Auteur
- kamo
- Commite
- a7352ef
Les images externes ont cessé de rendre lorsque la politique d'image au niveau de la page a été expédiée. Le middleware définit les données de «self»: blob: https://theme.-apex- https://..apex- https://..apex, et un corps de courrier électronique rend dans un iframe 'srcdoc' avec 'allow-sorigin', donc il hérit de cette politique - chaque URL tierce partie dans le message a été refusée par le navigateur. "Afficher des images externes" a révélé des URLs que la page n'était pas autorisée à charger, donc en cliquant, il n'a rien fait. Le reste de l'application a été déplacé sur le z/api/images/proxy dans le même changement, qui C'est pourquoi "l'auto" est suffisant partout ailleurs. Les organismes de courrier électronique étaient la surface encore en émission d'origines brutes. Ils passent maintenant par le même mandataire, pour 'img src'. et pour la téléurl() dans le CSS - 'img-src' ' 'img-src' ' 'r'se ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' ' Deux détails ont été mis en évidence: - DOMPurify re-valide un attribut après qu'un crochet l'a réécrit, et un 'img' à gauche sans src est abandonnée et directe plutôt que gardée comme une image brisée. Donc ALLOWED-URI-REGEXP a également dû nommer le chemin proxy; sans lui la réécriture a supprimé les images mêmes qu'il essayait de restaurer. Les images sont abandonnées plutôt que proxénétes. Le proxy ne parle que https et une page https bloque le contenu mixte, donc la remise au navigateur une URL est de refuser d'aider personne. Le blocage est inchangé alors que le membre n'a pas autorisé d'images: pixel et data-kamo-bloqué-src restent en place, et pas d'incendies de demande. En ligne cid: les images n'ont jamais été affectées - elles ont déjà été résolues à un chemin de même origine la politique le permet.