Добавить SHiNE теги в DM и безопасный рендер превью

2026-07-10 18:57:44 +04:00
parent 076b43e542
commit 0d2d7b6dc5
10 changed files with 358 additions and 18 deletions
@@ -0,0 +1,26 @@
+## Краткое описание
+
+В DM добавлен клиентский формат технических вставок в начале plaintext:
+
+- `<SHiNE:reply;v=1;id=...>`
+- `<SHiNE:call;v=1;status=...;...>`
+
+UI скрывает такие вставки из текста сообщения, а call-вставки отображает специальным человекочитаемым видом.
+Также добавлена защита от пользовательского текста, начинающегося с `<SHiNE:`, и исправлен безопасный рендер превью последнего сообщения в списке личных диалогов.
+
+## Что проверять
+
+- Если пользователь отправляет обычный текст, начинающийся с `<SHiNE:`, он уходит как `< SHiNE:` и отображается как обычный текст.
+- DM с `<SHiNE:call...>` показывается в чате как специальное call-сообщение, а не как сырой техтекст.
+- В списке личных сообщений превью такого сообщения показывает человекочитаемый итог звонка.
+- DM с `<SHiNE:reply...>Текст ответа` скрывает техблок и показывает только `Текст ответа`.
+- Если reply-цель отсутствует, сообщение всё равно показывается как обычный текст ответа.
+- Текст вида `<script>alert(1)</script>` или похожие HTML-теги не исполняются ни в чате, ни в списке личных сообщений, ни в списке каналов.
+
+## Ожидаемый результат
+
+Технические SHiNE-вставки работают только как управляющие метаданные UI, а отображаемый пользователю текст и превью остаются безопасными и не рендерят HTML.
+
+## Статус
+
+pending