为什么不在网站的文本编辑器中使用HTML标记呢?

*bold text* <b>bold text</b> . 尤其是当你进入链接。

我们使用Markdown、Textile和其他产品的原因是为了提供一个更好的替代品,让更多的用户可以使用。

<script> , <iframe> ,大图像,javascript格式 <a href="javascript:alert("...");"> 等。

1) 如果您引入自己的简化标记集,则用户可能不那么复杂

2) HTML注入:危险的HTML代码被注入的风险很大。

历史上 BBCode

目前我看到的主要原因是HTML对大多数用户来说都是陌生的,HTML替代品的目的是提供一个简化版本的格式化指令,用户每天都需要。

HTML脚本注入是最重要的 不 non-regular language -检测所有可能的漏洞是一个非常困难的问题。很多网站都尝试过,但都失败了。从漏洞预防的角度来看,完全禁止HTML或者只允许标记的一小部分更容易。