Por que o javascript é permitido no meu conteúdo da postagem?

O códice diz que você não pode adicionar javascript no conteúdo da postagem

https://codex.wordpress.org/Using_Javascript

Mas eu posso. Desliguei todos os plugins e mudei para o tema vinte e dezesseis, mas sem sucesso - ainda posso adicionar javascript, através do conteúdo da postagem, e executá-lo no frontend. Não quero que ninguém seja capaz de adicionar javascript através do conteúdo da postagem (exceto oembed etc.) por motivos de segurança.

Alguém já experimentou isso ou tem alguma idéia para ajudar?

obrigado

Se você tiver o recurso unfiltered_html, poderá usar o JS. Administradores e editores têm esse recurso por padrão.

Pessoalmente, uso um plug-in para controlar com precisão os recursos de meus usuários, mas você pode fazer essa alteração facilmente no código:

  $role = get_role( 'administrator' );
  $role->remove_cap( 'unfiltered_html' );
  $role = get_role( 'editor' );
  $role->remove_cap( 'unfiltered_html' );

Os recursos são armazenados na tabela de opções db, portanto, tecnicamente, você não precisa executar isso repetidamente. Talvez faça um pequeno plugin e coloque isso no gancho de ativação.

Não esqueça que os administradores podem contornar isso carregando seu próprio código e editando diretamente as opções de função. Eu nunca deixo alguém ter o papel de administrador, a menos que eu esteja feliz por eles fazerem alguma coisa.