安全性

Waline 留言系統的安全性是我們的首要考量。我們將在這裡介紹 Waline 的安全性。

留言安全

防範 XSS 攻擊

Waline 在伺服器端使用 DOMPurify 過濾每一筆留言輸入，以防止潛在的 XSS 攻擊。這意味著你將不能使用 <iframe> 以及任何形式的腳本。

防止連結追蹤

所有的連結都會被自動設定 rel="noreferrer noopener" 並使用 target="_blank" 在新視窗中開啟。

防止惡意內容植入

• 為了防止使用者在留言區建立可提交的表單欺騙其他訪客提交資訊，你無法使用 <form> 與 <input>

• 為了防止使用者利用樣式篡改網站頁面或修改自身留言樣式植入垃圾廣告，<style> 標籤和元素上的 style 屬性均不可用。

• 為了防止使用者濫用媒體自動播放功能，你無法使用 autoplay 屬性。

防止偽造

Waline 支援帳號系統，所以你可以強制使用者註冊並使用帳號登入。這樣訪客將不能偽造其他人發表留言。

為了啟用這個功能，你需要在客戶端和伺服器同時設定強制登入，詳見 login 和 LOGIN。

網站安全

頻率限制

為了防止使用者頻繁留言，Waline 會針對留言 IP 進行限制。在預設情況下，同一 IP 一分鐘內只能傳送一則留言。你可以在 伺服器參考 → 環境變數 中修改這個限制。

防止洗版

Waline 在寫入留言時會對既有留言進行偵測，如果偵測到相似度過高的留言，將會拒絕相應留言。這可以在一定程度上防止洗版。

留言審核

在你的網站遭受惡意攻擊、敏感時期或你忙碌的時候，你可以開啟留言審核功能，詳見 伺服器參考 → 環境變數。

留言審核開啟期間，所有新增留言會預設隱藏，你可以在 Waline 管理端或相應頁面的留言框中查看並審核留言，只有你審核通過的留言才會被顯示。

資料安全

由於 Waline 擁有伺服器，任何人無法篡改留言資料或瀏覽量。

同時，你可以在伺服器設定 DISABLE_USERAGENT 和 DISABLE_REGION 變數，阻止他人查看使用者留言的 UA 和地理位置。