Show pdf:s inline again

(Written by Herman)

Det här är pga en fix på ett säkerhetshål som fanns ganska länge, där man kunde xssa genom att ladda upp pdfer med javascript i. Det fanns två aktuella fixar:

Disablea display av PDFer helt och hållet och göra så man behöver öppna dem i ny flik (https://github.com/datasektionen/cashflow/pull/116)
Sandboxa alla iframes med pdf:er i (https://github.com/datasektionen/cashflow/pull/127).

Den senare av dessa blev mergead, men det visade sig att webbläsare inte vill visa pdfer i sandboxade iframes. (researchade lite och hittade ingen bra lösning)

Så frågan är hur vi vill gå vidare. Tar man bort pdf-visningen? Accepterar man att man xss:er finns? (det som kan göras är typ att få folk med attesträtt att attestera mot deras vilja, eller liknande). Eller vill man leta vidare efter någon annan lösning?

datasektionen / cashflow

Show pdf:s inline again #144