使用Markdown by detault的文本编辑器是否比其他文本编辑器更安全

Question

我熟悉CKEditor，它将粗体文本转换为HTML标签<strong>。其他编辑器(如本网站上的编辑器)使用Markdown格式，我看到的是用星号包装的粗体文本，而不是像这样的**text**。

Sp这是否意味着使用标记编辑器可以在默认情况下保护您不受该用户输入中的任何XSS的影响？我认为是的(这是我想使用markdown编辑器而不是ckeditor的主要原因)，但我想要仔细检查一下。

Answer 1

根据这个：http://michelf.com/weblog/2010/markdown-and-xss/

默认情况下，它不会转义XSS

Answer 2

没有XSS安全客户端编辑器。即使编辑器不允许您插入任意HTML，也很容易有人绕过编辑器提交任意HTML。

唯一安全的解决方案是清理服务器上的HTML。