FastComments używa kombinacji Markdown i prostego podzbioru HTML, aby umożliwić pisanie komentarzy.

Dobry zasób dla składni Markdown jest tutaj.

Dla najbardziej powszechnego formatowania możesz użyć paska narzędzi formatowania, aby robić rzeczy takie jak pogrubianie lub pochylanie tekstu.

Niektóre przykłady składni to:

• Pogrubienie:
  • **pogrubienie**
  • <b>pogrubiony tekst</b>
• Kursywa:
  • *kursywa*
  • <i>tekst kursywą</i>
• Przekreślenie:
  • ~~przekreślenie~~
  • <strike>przekreślenie</strike>
• Cytaty:
  • > cytat

Zauważ, że nagłówki Markdown nie są obsługiwane.

Linki mogą być pisane jako surowe adresy URL, bez HTML lub innej składni, i domyślnie link zostanie przekształcony w klikalny link z target="nofollow noopener", aby zniechęcić spamerów. Niektóre strony mogą zdecydować się na wyłączenie automatycznego tworzenia linków.

Listy numerowane można pisać jako:

1. Pierwszy element.
2. Drugi element.
3. Trzeci element.

To samo dotyczy list punktowanych:

- Jakiś punkt.
- Inny punkt.

Dla społeczności zorientowanych na programowanie, kod można udostępniać wklejając go w obszarze komentarzy, a język zostanie automatycznie wykryty i sformatowany. Kod można dodać w tagach <code></code> lub blokach kodu Markdown z backtickami.

Istnieje wiele aspektów bezpieczeństwa, gdy pozwalamy ludziom dodawać treści do strony internetowej, a następnie renderować te treści na wielu różnych typach urządzeń.

Zapobieganie nadużyciom formatowania

Ludzie mogą pisać treści, które są celowo wizualnie rozpraszające i obniżają wartość dyskusji poprzez nadużywanie formatowania tekstu.

FastComments robi wiele rzeczy, aby zapobiec nadużyciom w zakresie formatowania:

• Duże powtarzające się kolejne znaki nowej linii są zwijane.
• Nie renderujemy nagłówków (stają się zwykłym tekstem).
• Nie zezwalamy na CSS ani niestandardowe kolory.

Zapobieganie exploitom

Exploity mogą być tworzone w systemach renderujących HTML. FastComments robi kilka rzeczy, aby temu zapobiec:

• Zezwalamy tylko na jawnie zdefiniowany zestaw tagów HTML.
• Zezwalamy tylko na jawnie zdefiniowany zestaw atrybutów tagów HTML.
• Oczyszczamy i sanityzujemy wszystkie dane wejściowe.
  • Odbywa się to za pomocą bibliotek DOMPurify i sanitizeHtml.
  • Wybraliśmy te biblioteki jako dobrze przetestowane (z ponad 4 i 1 milionem pobrań tygodniowo, odpowiednio).

Oznacza to, że użytkownicy nie mogą robić rzeczy takich jak pisanie tagów <script> lub <style>, ani próbować dodawać skryptów typu onload=alert() do obrazów lub innych treści.

Tagi HTML, które zezwalamy, są następujące:

• <b>
• <em>
• <u>
• <i>
• <strike>
• <pre>
• <span>
• <code>
• <img>
• <a>
• <strong>
• <ul>
• <ol>
• <li>
• <br>