Spring Boot + Thymeleaf 服务端安全渲染 Markdown

背景

社区里的文章、问答与评论都以 Markdown 存储，但详情页最初用 th:text 原样输出，读者看到的全是 ## 与 - 这类语法原文。要在不改动写入链路的前提下，让浏览侧渲染成 HTML，我们选了服务端渲染。

方案

• 渲染器：org.commonmark:commonmark，Parser 与 HtmlRenderer 线程安全，可单例复用。
• 防注入：渲染时开启 escapeHtml 与 sanitizeUrls，内嵌 HTML、javascript: 协议一律拦截。
• 模板侧：详情页用 th:utext 调用 Spring 容器里的 markdown 渲染器输出 HTML 片段。
• 摘要降级：列表摘要改用纯文本渲染器，折叠空白后按 120 字截断，避免把语法带进卡片。

关键代码

Node node = parser.parse(markdown);
return htmlRenderer.render(node);

小结

只在读侧做渲染，写侧与 MCP 契约保持不变；渲染器无状态、可复用，成本可控。

一次改动，详情页、评论与问答回答全部受益。