Hier behandeln wir das FastComments-Kommentarformat, die beim Schreiben von Kommentaren unterstützten Funktionen, wie man Text formatiert und die verschiedenen Filter und Sicherheitsmaßnahmen, die im System integriert sind.
Grundlegende Formatierung 
FastComments verwendet eine Kombination aus Markdown und einer einfachen Teilmenge von HTML, um das Schreiben von Kommentaren zu ermöglichen.
Eine gute Ressource für Markdown-Syntax finden Sie hier.
Für die gängigste Formatierung können Sie die Formatierungssymbolleiste verwenden, um Text fett oder kursiv zu machen.
Einige Syntaxbeispiele sind:
- Fett:
**fett**<b>fetter Text</b>
- Kursiv:
*kursiv*<i>kursiver Text</i>
- Durchgestrichen:
~~durchgestrichen~~<strike>durchgestrichen</strike>
- Zitate:
> Zitat
Beachten Sie, dass Markdown-Überschriften nicht unterstützt werden.
Links können als ihre rohe URL geschrieben werden, ohne HTML oder andere Syntax, und standardmäßig wird der Link in einen klickbaren Link mit target="nofollow noopener" umgewandelt, um Spammer abzuschrecken. Einige Websites können die automatische Linkerstellung deaktivieren.
Geordnete Listen können wie folgt geschrieben werden:
1. Erstes Element.
2. Zweites Element.
3. Drittes Element.Das Gleiche gilt für Aufzählungslisten:
- Ein Punkt.
- Ein anderer Punkt.Für programmierbezogene Communities kann Code geteilt werden, indem er in den Kommentarbereich eingefügt wird, und die Sprache wird automatisch erkannt und formatiert. Code kann in <code></code>-Tags oder Markdown-Codeblöcken mit Backticks hinzugefügt werden.
Sicherheit
Beim Zulassen von Inhalten durch Nutzer auf einer Website und deren Darstellung auf vielen verschiedenen Gerätetypen gibt es mehrere Sicherheitsaspekte.
Verhinderung von Formatierungsmissbrauch
Nutzer können Inhalte verfassen, die durch missbräuchliche Textformatierung absichtlich optisch ablenken und den Wert von Diskussionen mindern.
FastComments unternimmt mehrere Maßnahmen, um Missbrauch bei der Formatierung zu verhindern:
- Große, wiederholt aufeinanderfolgende Zeilenumbrüche werden zusammengeführt.
- Wir rendern keine Überschriften (sie werden zu normalem Text).
- Wir erlauben kein CSS oder benutzerdefinierte Farben.
Schutz vor Exploits
In Systemen, die HTML rendern, können Exploits entstehen. FastComments ergreift mehrere Maßnahmen, um dies zu verhindern:
- Wir erlauben nur eine explizit definierte Menge von HTML-Tags.
- Wir erlauben nur eine explizit definierte Menge von HTML-Tag-Attributen.
- Wir bereinigen und säubern alle Eingaben.
- Dies erfolgt mithilfe der Bibliotheken DOMPurify und sanitizeHtml.
- Wir haben diese Bibliotheken gewählt, weil sie gut getestet sind (mit über 4 bzw. 1 Million Downloads pro Woche).
Das bedeutet, dass Nutzer nicht etwas wie <script>- oder <style>-Tags schreiben können, oder versuchen, onload=alert()-artige Skripte zu Bildern oder anderem Inhalt hinzuzufügen.
Die von uns erlaubten HTML-Tags sind wie folgt:
<b><em><u><i><strike><pre><span><code><img><a><strong><ul><ol><li><br>
Der <iframe>-Tag ist standardmäßig nicht erlaubt. Wenn Sie Medieneinbettungen zulassen, sind iframes ebenfalls erlaubt, aber nur, wenn deren Quelle einer der eingebauten vertrauenswürdigen Anbieter (wie YouTube, Vimeo, SoundCloud und Spotify) oder einem von Ihnen explizit hinzugefügten Hostnamen entspricht. Iframes von anderen Quellen werden entfernt.