Markdown vers HTML

Le Markdown a commencé comme un format peu spécifié sans grammaire unique et faisant autorité, ce qui signifiait que différentes implémentations divergeaient sur des cas limites — comment les listes imbriquées devraient se comporter, si les underscores dans un mot comptent comme emphase — souvent d'une façon produisant une sortie rendue réellement différente du même texte source identique. CommonMark est apparu spécifiquement pour corriger cela en définissant une spécification unique, précise et sans ambiguïté que tout analyseur conforme doit suivre exactement. GitHub Flavored Markdown (GFM) se construit sur cette base CommonMark et ajoute plusieurs extensions que le CommonMark brut ne définit pas du tout : tableaux construits avec des caractères de barre verticale et une ligne séparatrice de tirets, cases de liste de tâches écrites `- [ ]` et `- [x]`, texte barré enveloppé de doubles tildes, et hyperliens automatiques d'URL nues sans besoin de syntaxe de lien explicite. GFM est le dialecte que cet outil implémente car c'est celui vers lequel se sont standardisés GitHub, Reddit, et l'écrasante majorité des générateurs de sites statiques et outils de documentation, en faisant la cible la plus largement utile pour tout ce qui est écrit pour être lu ailleurs.

La syntaxe Markdown permet délibérément d'intégrer du HTML brut directement dedans — c'est intentionnel et c'est ce qui permet aux auteurs de Markdown d'insérer un élément intégré, un alignement précis, ou un morceau de style pour lequel la syntaxe Markdown elle-même n'a pas de raccourci. Le risque est qu'une balise `<script>` ou un gestionnaire d'événement en ligne comme `onerror=` collé dans du Markdown non fiable s'exécuterait normalement dans le contexte qui le rend, ce qui est un vrai vecteur de script intersite si le Markdown venait de quelqu'un d'autre que la personne voyant l'aperçu. Rendre l'aperçu en direct dans un iframe isolé avec les scripts désactivés signifie que toute balise de script ou gestionnaire d'événement ainsi dans l'aperçu ne s'exécute simplement pas — le navigateur refuse d'exécuter du code dans un cadre correctement isolé, contenant le risque à cet aperçu isolé.

Ce que l'isolation ne fait pas, c'est assainir la *sortie HTML générée* que cet outil produit pour que vous copiez — cette sortie au niveau texte contient toujours tout HTML brut présent dans le Markdown original, fidèlement préservé, exactement comme le prévoit la spécification Markdown. Si ce HTML généré doit être inséré dans une page en direct affichant du contenu d'un auteur non fiable, il a besoin de sa propre étape d'assainissement séparée côté serveur avant publication, ce qui est une étape distincte de tout ce que gère cette isolation de l'aperçu.

Le Markdown a été délibérément conçu comme un raccourci pour les constructions HTML auxquelles les rédacteurs recourent le plus souvent — titres, liens, emphase, listes — plutôt que comme un remplacement complet de toute la capacité du HTML. Tout ce pour quoi la syntaxe Markdown elle-même n'a pas d'équivalent, d'un style en ligne précis à une vidéo intégrée, est censé s'écrire en HTML littéral directement dans le code source Markdown, et l'analyseur le transfère sans changement plutôt que de le rejeter comme invalide. C'est une décision de conception délibérée remontant à la spécification Markdown d'origine, pas une lacune ou un oubli d'une implémentation particulière.