FastComments utilise une combinaison de Markdown et d'un sous-ensemble simple de HTML pour permettre l'écriture de commentaires.

Une bonne ressource pour la syntaxe Markdown est ici.

Pour la mise en forme la plus courante, vous pouvez utiliser la barre d'outils de formatage pour faire des choses comme mettre du texte en gras ou en italique.

Quelques exemples de syntaxe sont:

• Gras:
  • **gras**
  • <b>texte en gras</b>
• Italique:
  • *italique*
  • <i>texte en italique</i>
• Barré:
  • ~~barré~~
  • <strike>barré</strike>
• Citations:
  • > citation

Notez que les titres Markdown ne sont pas pris en charge.

Les liens peuvent être écrits sous forme d'URL brute, sans HTML ou autre syntaxe, et par défaut le lien sera transformé en lien cliquable avec target="nofollow noopener" pour décourager les spammeurs. Certains sites peuvent choisir de désactiver la création automatique de liens.

Les listes ordonnées peuvent être écrites comme:

1. Premier élément.
2. Deuxième élément.
3. Troisième élément.

Il en va de même pour les listes à puces:

- Un point.
- Un autre point.

Pour les communautés orientées programmation, le code peut être partagé en le collant dans la zone de commentaire, et le langage sera automatiquement détecté et formaté. Le code peut être ajouté dans des balises <code></code> ou des blocs de code Markdown avec des backticks.

Il y a plusieurs aspects de sécurité lorsqu'on permet aux gens d'ajouter du contenu à un site web puis de rendre ce contenu sur de nombreux types d'appareils différents.

Prévention des abus de formatage

Les gens peuvent écrire du contenu qui est intentionnellement visuellement distrayant et diminue la valeur des discussions en abusant du formatage de texte.

FastComments fait plusieurs choses pour prévenir les abus en matière de formatage:

• Les grands sauts de ligne consécutifs répétés sont réduits.
• Nous ne rendons pas les titres (ils deviennent du texte normal).
• Nous n'autorisons pas le CSS ou les couleurs personnalisées.

Prévention des exploits

Des exploits peuvent être créés dans les systèmes qui rendent du HTML. FastComments fait plusieurs choses pour prévenir cela:

• Nous n'autorisons qu'un ensemble explicitement défini de balises HTML.
• Nous n'autorisons qu'un ensemble explicitement défini d'attributs de balises HTML.
• Nous purifions et assainissons toutes les entrées.
  • Cela est fait via les bibliothèques DOMPurify et sanitizeHtml.
  • Nous avons choisi ces bibliothèques car elles sont bien testées (avec plus de 4 et 1 million de téléchargements par semaine, respectivement).

Cela signifie que les utilisateurs ne peuvent pas faire des choses comme écrire des balises <script> ou <style>, ou essayer d'ajouter des scripts de type onload=alert() aux images ou autre contenu.

Les balises HTML que nous autorisons sont les suivantes:

• <b>
• <em>
• <u>
• <i>
• <strike>
• <pre>
• <span>
• <code>
• <img>
• <a>
• <strong>
• <ul>
• <ol>
• <li>
• <br>