Tutaj omówimy format komentarzy FastComments, funkcje obsługiwane podczas pisania komentarzy, jak formatować tekst oraz różne filtry i środki bezpieczeństwa zastosowane w systemie.
Podstawowe formatowanie 
FastComments używa kombinacji Markdown i prostego podzbioru HTML, aby umożliwić pisanie komentarzy.
Dobry zasób dla składni Markdown jest tutaj.
Dla najbardziej powszechnego formatowania możesz użyć paska narzędzi formatowania, aby robić rzeczy takie jak pogrubianie lub pochylanie tekstu.
Niektóre przykłady składni to:
- Pogrubienie:
**pogrubienie**<b>pogrubiony tekst</b>
- Kursywa:
*kursywa*<i>tekst kursywą</i>
- Przekreślenie:
~~przekreślenie~~<strike>przekreślenie</strike>
- Cytaty:
> cytat
Zauważ, że nagłówki Markdown nie są obsługiwane.
Linki mogą być pisane jako surowe adresy URL, bez HTML lub innej składni, i domyślnie link zostanie przekształcony w klikalny link z target="nofollow noopener", aby zniechęcić spamerów. Niektóre strony mogą zdecydować się na wyłączenie automatycznego tworzenia linków.
Listy numerowane można pisać jako:
1. Pierwszy element.
2. Drugi element.
3. Trzeci element.To samo dotyczy list punktowanych:
- Jakiś punkt.
- Inny punkt.Dla społeczności zorientowanych na programowanie, kod można udostępniać wklejając go w obszarze komentarzy, a język zostanie automatycznie wykryty i sformatowany. Kod można dodać w tagach <code></code> lub blokach kodu Markdown z backtickami.
Bezpieczeństwo
Istnieje wiele aspektów związanych z bezpieczeństwem, gdy pozwalasz użytkownikom dodawać treści na stronę internetową a następnie renderujesz te treści na różnych typach urządzeń.
Zapobieganie nadużyciom formatowania
Użytkownicy mogą pisać treści, które są celowo wizualnie rozpraszające i obniżają wartość dyskusji przez nadużywanie formatowania tekstu.
FastComments wykonuje szereg działań, aby zapobiegać nadużyciom związanym z formatowaniem:
- Długie powtarzające się kolejne nowe linie są łączone.
- Nie renderujemy nagłówków (stają się zwykłym tekstem).
- Nie zezwalamy na CSS ani niestandardowe kolory.
Zapobieganie exploitom
Eksploity mogą powstawać w systemach, które renderują HTML. FastComments wykonuje kilka działań, aby temu zapobiec:
- Zezwalamy tylko na wyraźnie zdefiniowany zbiór tagów HTML.
- Zezwalamy tylko na wyraźnie zdefiniowany zbiór atrybutów tagów HTML.
- Oczyszczamy i sanitizujemy wszystkie dane wejściowe.
- Odbywa się to za pomocą bibliotek DOMPurify i sanitizeHtml.
- Wybraliśmy te biblioteki, ponieważ są dobrze przetestowane (mają odpowiednio ponad 4 i 1 milion pobrań tygodniowo).
To oznacza, że użytkownicy nie mogą robić rzeczy takich jak pisać tagów <script> lub <style>, ani próbować dodawać skryptów typu onload=alert() do obrazów lub innych treści.
Zezwalane tagi HTML to:
<b><em><u><i><strike><pre><span><code><img><a><strong><ul><ol><li><br>
Tag <iframe> nie jest domyślnie dozwolony. Jeśli włączysz opcję Zezwalaj na osadzanie mediów, tagi <iframe> są również dozwolone, ale tylko wtedy, gdy ich źródło pochodzi z wbudowanej listy zaufanych dostawców (takich jak YouTube, Vimeo, SoundCloud i Spotify) lub z nazwy hosta, którą wyraźnie dodałeś. Tagi <iframe> z innych źródeł są usuwane.