← 云枢 AI 导航 · 工具库
Markdown 预览：先说清它为什么不会中招
很多人用在线 Markdown 预览都会想一件事：我贴进去的内容，会不会在别人浏览器里跑脚本。这里的答案是不会——渲染器先转义、再还原标记。
立即使用 →
English
在线 Markdown 渲染的经典漏洞是透传原始 HTML。有些渲染器允许 Markdown 里直接写 <script>，结果就是"预览"变成了 XSS 靶场。
这里的处理顺序是：先把整段文本做 HTML 转义，再按规则把标记还原成标签。也就是说，用户输入里不可能出现未经转义的尖括号——即使渲染规则将来有 bug，也放不出可执行内容。
它会检查什么
- 标题（# 到 ######）、粗体、斜体、删除线、行内代码
- 代码块（带语言标记）、引用、分隔线
- 有序 / 无序列表、表格
- 链接（自动加 nofollow）与图片（懒加载）
- 原始 HTML 一律转义，规避 XSS
常见问题
- 能直接贴 HTML 吗？
- 能贴，但会被当成文本显示出来，不会生效。这是刻意设计：预览工具不应该成为 HTML 注入的通道。
- 支持 GFM 表格和任务列表吗？
- 表格支持。任务列表（- [ ]）暂不支持，会显示成普通文本。
- 渲染结果能直接拿去用吗？
- 可以。页面下方会给出完整的 HTML 源码，复制走即可。不过注意外链已被加上 nofollow。
相关工具