Markdown 渲染（Markdown to HTML）

🧮算法原理

块级解析

逐行扫描：以 # 开头的是标题，``` 开头的是代码块（一直读到结束标记），> 开头的是引用（去掉 > 后递归解析里面的内容），- 或 1. 开头的是列表项（缩进的后续行属于这一项，同样递归解析），带 | 且下一行是 |---| 分隔行的是表格，其余连续的行合成段落。列表项之间有空行时是「松散」列表，每项包在 <p> 里。

强调的配对

星号和下划线的规则比看起来复杂：2 * 3 * 4 里的星号不是强调，snake_case_name 里的下划线也不是。解析器按 CommonMark 的规则判断每一串 * 或 _ 能否开始、能否结束强调（看它前后是空白、标点还是字母），再用一个栈从左到右配对，两个配成 <strong>，一个配成 <em>，所以 ***both*** 会得到嵌套正确的 <em><strong>。

防 XSS

输出用 innerHTML 插入页面，所以绝不能让输入变成可执行的代码。三条措施：所有文字中的 & < > " ' 一律转义，原始 HTML 只会原样显示；属性值统一用双引号包住并转义，标题、图片说明里的引号无法「跳出」属性；链接和图片地址只允许 http、https、mailto 和相对地址，判断前先去掉空白和控制字符，所以 JaVaScRiPt:、java<Tab>script: 都会被替换成 #。点「XSS 测试」可以看到常见攻击写法的输出。

代码高亮

带语言标注的代码块（rust、js、python、bash）会被切分成关键字、字符串、注释、数字和类型名，分别套上不同颜色的 <span>。这是按字符扫描的简单分词，不做完整的语法分析。

支持的范围

实现的是 CommonMark 的常用子集加上 GFM 的表格、删除线和任务列表。不支持：原始 HTML 透传（出于安全考虑）、「下划线式」标题（=== / ---，--- 会被当作分隔线）、缩进式代码块、脚注和引用式链接。

🔄Rust 与 JavaScript 的分工

1. JS每次输入（每帧最多一次）JS 调用 md_render(文本)。
2. RustRust 解析出块结构树，对每个块做行内解析，拼接成 HTML 字符串返回。异常输入（上千个未闭合的 [、几百层嵌套的引用）也有线性时间和递归深度的保护。
3. JSJS 把结果放进预览区；也可以切换成查看 HTML 源码。