Foro: correcciones de la revisión de seguridad y correctitud

- CSRF real en las vistas mutadoras con @csrf_protect (el middleware global no estaba activo; verificado: POST sin token -> 403). Se documenta el hueco global. - bloquea acceso a temas de foros ocultos/borrados por URL directa (view_topic y reply) - conteo de posts respeta borrados para moderadores (paginación correcta) - tema bloqueado impide editar/borrar posts a no-moderadores (_topic_locked_for) - moderador ve el formulario de respuesta en temas bloqueados (can_reply) - filtro forum_safe: sanea el HTML también al renderizar (defensa en profundidad) Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>
2026-07-12 17:34:03 +00:00
parent 071ba031a1
commit 89ea16ba4d
6 changed files with 81 additions and 14 deletions
@@ -1,5 +1,5 @@
 <!DOCTYPE html>
-
+{% load forum_extras %}
    {% include 'partials/head.html' %}
 	{% include 'partials/header.html' %}
 	{% include 'partials/video.html' %}
@@ -34,7 +34,7 @@
                                {% if post.deleted %}
                                <div class="pbody"><em>[Mensaje eliminado]</em></div>
                                {% else %}
-                                <div class="pbody">{{ post.text|safe }}</div>
+                                <div class="pbody">{{ post.text|forum_safe }}</div>
                                {% endif %}
                                <div class="pfoot">
                                    <span>{{ post.time }}{% if post.updated_at and post.updated_at != post.time %} · editado {{ post.updated_at }}{% endif %}</span>