安全

Markdown 渲染为什么必须 sanitize

Markdown 允许内嵌 HTML，这意味着“渲染用户提交的 Markdown”本质上等于“渲染用户提交的 HTML”。下面这段 Markdown 如果原样转成 HTML 插入页面，就会执行脚本：第二层是兜底：即使第一层的配置以后被人改了…