Тут ми розглянемо формат коментарів FastComments, функції, які підтримуються під час написання коментарів, як форматувати текст та різні фільтри й заходи безпеки, інтегровані в систему.
Основне форматування 
FastComments використовує комбінацію Markdown та простого підмножини HTML для написання коментарів.
Хороший ресурс для синтаксису Markdown тут.
Для найпоширенішого форматування ви можете використовувати панель інструментів форматування для таких речей, як виділення тексту жирним або курсивом.
Деякі приклади синтаксису:
- Жирний:
**жирний**<b>жирний текст</b>
- Курсив:
*курсив*<i>курсивний текст</i>
- Закреслений:
~~закреслений~~<strike>закреслений</strike>
- Цитати:
> цитата
Зверніть увагу, що заголовки Markdown не підтримуються.
Посилання можна писати як їх сирий URL, без HTML або іншого синтаксису, і за замовчуванням посилання буде перетворено на клікабельне посилання з target="nofollow noopener" для відлякування спамерів. Деякі сайти можуть вимкнути автоматичне створення посилань.
Нумеровані списки можна написати так:
1. Перший пункт.
2. Другий пункт.
3. Третій пункт.Те саме для маркованих списків:
- Один пункт.
- Інший пункт.Для спільнот, орієнтованих на програмування, код можна поділитися, вставивши його в область коментаря, і мова буде автоматично визначена та відформатована. Код можна додати в теги <code></code> або блоки коду Markdown із зворотними лапками.
Безпека
Існує кілька аспектів безпеки при дозволі людям додавати вміст на вебсайт і потім відображати цей вміст на різних типах пристроїв.
Запобігання зловживанню форматуванням
Люди можуть писати вміст, який навмисно візуально відволікає та знижує цінність обговорень шляхом зловживання текстовим форматуванням.
FastComments робить низку заходів для запобігання зловживанням форматуванням:
- Великі повторювані послідовні порожні рядки стискаються.
- Ми не відображаємо заголовки (вони стають звичайним текстом).
- Ми не дозволяємо CSS або користувацькі кольори.
Запобігання експлойтам
Експлойти можуть виникати в системах, які рендерять HTML. FastComments робить кілька речей, щоб цьому запобігти:
- Ми дозволяємо лише явно визначений набір HTML-тегів.
- Ми дозволяємо лише явно визначений набір атрибутів HTML-тегів.
- Ми очищуємо та санітуємо всі вхідні дані.
- Це здійснюється за допомогою бібліотек DOMPurify та sanitizeHtml.
- Ми обрали ці бібліотеки як добре протестовані (мають понад 4 та 1 мільйон завантажень на тиждень відповідно).
Це означає, що користувачі не можуть робити такі речі, як писати <script> або <style> теги, або намагатися додати скрипти типу onload=alert() до зображень чи іншого вмісту.
The HTML tags we allow are as follows:
<b><em><u><i><strike><pre><span><code><img><a><strong><ul><ol><li><br>
The <iframe> tag is not allowed by default. If you turn on Allow Media Embeds, iframes are also permitted, but only when their source is one of a built-in list of trusted providers (such as YouTube, Vimeo, SoundCloud, and Spotify) or a hostname you have explicitly added. Iframes from any other source are removed.