Markdown zu HTML

Markdown begann als spärlich spezifiziertes Format ohne einzige, maßgebliche Grammatik, was bedeutete, dass verschiedene Implementierungen bei Randfällen uneinig waren — wie verschachtelte Listen sich verhalten sollten, ob Unterstriche innerhalb eines Wortes als Betonung zählen — oft auf Weisen, die eine wirklich unterschiedliche gerenderte Ausgabe desselben identischen Ausgangstextes erzeugten. CommonMark entstand speziell, um das zu beheben, indem eine einzige, präzise und eindeutige Spezifikation definiert wurde, der jeder konforme Parser exakt folgen muss. GitHub Flavored Markdown (GFM) baut auf dieser CommonMark-Grundlage auf und fügt mehrere Erweiterungen hinzu, die reines CommonMark überhaupt nicht definiert: Tabellen, gebaut mit vertikalen Strichen und einer Bindestrich-Trennzeile, Aufgabenlisten-Kästchen geschrieben als `- [ ]` und `- [x]`, in doppelte Tilden eingeschlossener durchgestrichener Text, und automatische Verlinkung nackter URLs ohne Bedarf an expliziter Link-Syntax. GFM ist der Dialekt, den dieses Tool implementiert, weil das ist, worauf sich GitHub, Reddit, und die überwältigende Mehrheit statischer Website-Generatoren und Dokumentations-Tools standardisiert haben, was ihn zum weithin nützlichsten Ziel für alles macht, das geschrieben wird, um anderswo gelesen zu werden.

Markdown-Syntax erlaubt bewusst, rohes HTML direkt darin einzubetten — das ist beabsichtigt und erlaubt Markdown-Autoren, ein eingebettetes Element, eine bestimmte Ausrichtung, oder ein Stück Styling einzufügen, für das die Markdown-Syntax selbst keine Abkürzung hat. Das Risiko ist, dass ein `<script>`-Tag oder ein Inline-Event-Handler wie `onerror=`, in nicht vertrauenswürdiges Markdown eingefügt, normalerweise im Kontext ausgeführt würde, der es rendert, was ein echter Cross-Site-Scripting-Vektor ist, wenn das Markdown von jemand anderem als der die Vorschau betrachtenden Person stammte. Die Live-Vorschau in einem isolierten iframe mit deaktivierten Skripten zu rendern bedeutet, dass jedes solche Script-Tag oder jeder Event-Handler in der Vorschau einfach nicht ausgeführt wird — der Browser weigert sich, Code innerhalb eines korrekt isolierten Rahmens auszuführen, wodurch das Risiko auf diese isolierte Vorschau begrenzt wird.

Was die Isolation nicht tut, ist die *generierte HTML-Ausgabe*, die dieses Tool zum Kopieren erzeugt, zu bereinigen — diese Textebenen-Ausgabe enthält weiterhin jedes rohe HTML, das im ursprünglichen Markdown vorhanden war, originalgetreu bewahrt, exakt wie es die Markdown-Spezifikation beabsichtigt. Soll dieses generierte HTML in eine Live-Seite eingefügt werden, die Inhalt eines nicht vertrauenswürdigen Autors anzeigt, braucht es seinen eigenen separaten Bereinigungsschritt serverseitig vor der Veröffentlichung, was ein anderer Schritt ist als alles, was diese Vorschau-Isolation behandelt.

Markdown wurde bewusst als Abkürzung für die Konstrukte entworfen, auf die Autoren am häufigsten zurückgreifen — Überschriften, Links, Betonung, Listen — statt als vollständiger Ersatz für die gesamte Fähigkeit von HTML. Alles, wofür die Markdown-Syntax selbst kein Äquivalent hat, von einem bestimmten Inline-Stil bis zu einem eingebetteten Video, ist gedacht, direkt im Markdown-Quellcode als literales HTML geschrieben zu werden, und der Parser überträgt es unverändert statt es als ungültig abzulehnen. Das ist eine bewusste Designentscheidung, die auf die ursprüngliche Markdown-Spezifikation zurückgeht, keine Lücke oder Unterlassung einer bestimmten Implementierung.