Markdown Filtragem de HTML puro
Última atualização: 2026-10-14
Filtragem de HTML puro Extensão GFM
O repasse de HTML pelo Markdown traz risco de XSS: <script>, atributos onclick e links javascript: são todos pontos de injeção. Renderizadores seguros filtram tags e atributos perigosos, com duas estratégias: sanitização e lista de permissões.
| Grupo | Casos limite e regras |
|---|---|
| Nível de especificação | Extensão GFM |
| Versão da especificação | CommonMark 0.31.2 + GFM |
📝 Sintaxe
(Sem sintaxe fixa — trata-se de entender as estratégias de filtragem)▶ Exemplo interativo
Edite o Markdown à esquerda e veja o resultado à direita
💡 Destaques
⚠️ Warning Todo cenário que renderiza entrada de usuário (comentários, editores) precisa sanitizar; o editor md-playground deste site vem com DOMPurify.
ℹ️ Note A lista de permissões do GitHub é rigorosa: script, iframe e style são sempre removidos, e os atributos de evento, todos descartados.
❓ Perguntas frequentes
P Qual a diferença entre sanitização e lista de permissões?
R A sanitização (DOMPurify) remove os nós perigosos e mantém o resto; a lista de permissões só deixa passar as tags especificadas e apaga todas as demais.
P Escrever <script> dentro de bloco de código executa?
R Não — o conteúdo do bloco de código é escapado e exibido literalmente, seguro por natureza.
P Qual é a política deste site?
R markdown-it com html:true repassando + sanitização com DOMPurify no front-end, em dupla proteção.
📚 Itens relacionados
HTML embutidoNúcleo CommonMark