Markdown 裸 HTML 过滤
最后更新：2026-10-14
裸 HTML 过滤 GFM 扩展
Markdown 透传 HTML 带来 XSS 风险：<script>、onclick 属性、javascript: 链接都是注入点。安全渲染器会过滤危险标签和属性，策略分消毒与白名单两种。
| 所属分组 | 边界与规则 |
|---|---|
| 规范层级 | GFM 扩展 |
| 规范版本 | CommonMark 0.31.2 + GFM |
📝 语法
（无固定语法——理解过滤策略）▶ 在线示例
在左侧编辑 Markdown，右侧实时看效果
💡 要点
⚠️ 注意 渲染用户输入的场景（评论、编辑器）必须消毒；本站 md-playground 编辑器配了 DOMPurify。
ℹ️ 说明 GitHub 白名单较严：script、iframe、style 一律剔除，事件属性全部剥掉。
❓ 常见问题
Q 消毒和白名单有什么区别？
A 消毒（DOMPurify）剔除危险节点保留其余；白名单只放行指定标签，其余全删。
Q 代码块里写 <script> 会执行吗？
A 不会，代码块内容整体转义显示，天然安全。
Q 本站的策略是什么？
A markdown-it html:true 透传 + 前端 DOMPurify 消毒双保险。
📚 相关条目
行内 HTMLCommonMark 核心