javascript - 正确、安全地使用 Markdown

Question

使用 Markdown 的最佳方法是什么？

• 我将 markdown 保存到数据库并在加载时使用 JavaScript 对其进行解析？
• 我将markdown解析为html，然后保存到数据库并将其加载到未转义的dom上？

第一个选项，我不必使用未转义的数据，但这意味着我必须使用 JavaScript 来解析大量 Markdown 语法，就像在评论线程上一样。

第二个选项可能会给我带来性能，因为我现在可以直接将数据加载到 DOM，但这也意味着我必须以不转义的方式加载它。

那么您会推荐哪种方法，或者还有其他更好的方法吗？

Answer 1

在我看来，第二种方法并不安全。您不能信任用户提交由 markdown 呈现的正确“html”，并且您永远不应该以原始 html 呈现用户提交的数据(无法转义)，否则很容易被脚本注入(inject)。我会选择选项1