280 lines
12 KiB
PHP
280 lines
12 KiB
PHP
|
<?php
|
|||
|
|
/**
|
|||
|
|
* 轻量 Markdown 渲染（v28 用户第 12 条）。
|
|||
|
|
*
|
|||
|
|
* 用户原话：「笔记功能，段落是需要支持富文本的，可以使用 markdown，但是需要使用
|
|||
|
|
* 富文本的方式进行编辑，同时可以使用 markdown 源码观看编辑。就是说，
|
|||
|
|
* 允许所见即所得编辑，也允许 markdown 编辑。」
|
|||
|
|
*
|
|||
|
|
* 为什么自己写而**不引入第三方库**（wyc 2026-10-07 已确认）：
|
|||
|
|
* · 本项目全站只有这一处要 Markdown，为一个功能引一个几百 KB~数 MB 的编辑器，
|
|||
|
|
* 与"轻量级"直接冲突（Semi 那 4 MB 已经在按需加载了，不该再加一个）；
|
|||
|
|
* · 我们支持的语法是**有界的**（标题 / 粗斜体 / 行内代码 / 代码块 / 列表 /
|
|||
|
|
* 引用 / 链接 / 分割线），不是完整 CommonMark —— 有界的东西自己写**更可靠**
|
|||
|
|
* （不会在某次依赖升级后行为漂移）。
|
|||
|
|
*
|
|||
|
|
* 🔴 安全：**不允许任何原始 HTML 通过**。所有输入先 `htmlspecialchars`，
|
|||
|
|
* 再按我们自己的语法加标记。这样 `<script>` 只会被画成一行字，
|
|||
|
|
* 而不是被执行 —— 富文本编辑器最常见的 XSS 来源就是"允许内嵌 HTML"。
|
|||
|
|
* 链接只允许 http/https/mailto，`javascript:` 一律降级成纯文本。
|
|||
|
|
*/
|
|||
|
|
|
|||
|
|
declare(strict_types=1);
|
|||
|
|
|
|||
|
|
namespace App;
|
|||
|
|
|
|||
|
|
final class Markdown
|
|||
|
|
{
|
|||
|
|
/**
|
|||
|
|
* 把一段 Markdown 渲染成安全的 HTML 片段。
|
|||
|
|
*
|
|||
|
|
* @param bool $inline true = 只做行内语法（用于列表/表格单元格），不产生 <p> 包裹
|
|||
|
|
*/
|
|||
|
|
public static function render(string $src, bool $inline = false): string
|
|||
|
|
{
|
|||
|
|
// 统一换行，去掉 BOM（从别处粘贴来的文本常带）
|
|||
|
|
$src = str_replace(["\r\n", "\r"], "\n", $src);
|
|||
|
|
$src = preg_replace('/^\xEF\xBB\xBF/', '', $src) ?? $src;
|
|||
|
|
|
|||
|
|
$lines = explode("\n", $src);
|
|||
|
|
$out = [];
|
|||
|
|
$i = 0;
|
|||
|
|
$n = count($lines);
|
|||
|
|
|
|||
|
|
while ($i < $n) {
|
|||
|
|
$line = $lines[$i];
|
|||
|
|
|
|||
|
|
// ---- 代码块 ``` 或 ~~~ ----------------------------------------
|
|||
|
|
if (preg_match('/^\s*(```+|~~~+)\s*([A-Za-z0-9_+-]*)\s*$/', $line, $m)) {
|
|||
|
|
$fence = $m[1][0];
|
|||
|
|
$lang = (string)$m[2];
|
|||
|
|
$buf = [];
|
|||
|
|
$i++;
|
|||
|
|
while ($i < $n && !preg_match('/^\s*' . preg_quote(str_repeat($fence, 3), '/') . '+/', $lines[$i])) {
|
|||
|
|
$buf[] = $lines[$i];
|
|||
|
|
$i++;
|
|||
|
|
}
|
|||
|
|
$i++; // 跳过收尾的围栏
|
|||
|
|
$cls = $lang !== '' ? ' class="md-code lang-' . e($lang) . '"' : ' class="md-code"';
|
|||
|
|
$out[] = '<pre' . $cls . '><code>' . e(implode("\n", $buf)) . '</code></pre>';
|
|||
|
|
continue;
|
|||
|
|
}
|
|||
|
|
|
|||
|
|
// ---- 标题 # ~ ###### ------------------------------------------
|
|||
|
|
if (preg_match('/^(#{1,6})\s+(.*)$/', $line, $m)) {
|
|||
|
|
$lv = strlen($m[1]);
|
|||
|
|
// ⚠️ 从 h4 起（h1/h2 留给页面本身），免得笔记里的标题盖过页面标题
|
|||
|
|
$tag = 'h' . min(6, $lv + 2);
|
|||
|
|
$out[] = '<' . $tag . ' class="md-h">' . self::inline(trim($m[2])) . '</' . $tag . '>';
|
|||
|
|
$i++;
|
|||
|
|
continue;
|
|||
|
|
}
|
|||
|
|
|
|||
|
|
// ---- 分割线 ----------------------------------------------------
|
|||
|
|
if (preg_match('/^\s*([-*_])(\s*\1){2,}\s*$/', $line)) {
|
|||
|
|
$out[] = '<hr class="md-hr">';
|
|||
|
|
$i++;
|
|||
|
|
continue;
|
|||
|
|
}
|
|||
|
|
|
|||
|
|
// ---- 引用 > （支持多层，用前缀数决定层级）----------------------
|
|||
|
|
if (preg_match('/^\s*>\s?(.*)$/', $line)) {
|
|||
|
|
$buf = [];
|
|||
|
|
while ($i < $n && preg_match('/^\s*>\s?(.*)$/', $lines[$i], $mm)) {
|
|||
|
|
$buf[] = $mm[1];
|
|||
|
|
$i++;
|
|||
|
|
}
|
|||
|
|
$out[] = '<blockquote class="md-quote">' . self::render(implode("\n", $buf)) . '</blockquote>';
|
|||
|
|
continue;
|
|||
|
|
}
|
|||
|
|
|
|||
|
|
// ---- 无序列表（支持**多级**：按前导空格数决定层级）--------------
|
|||
|
|
if (preg_match('/^(\s*)[-*+]\s+(.*)$/', $line, $m)) {
|
|||
|
|
[$html, $i] = self::list($lines, $i, $n, false);
|
|||
|
|
$out[] = $html;
|
|||
|
|
continue;
|
|||
|
|
}
|
|||
|
|
|
|||
|
|
// ---- 有序列表 --------------------------------------------------
|
|||
|
|
if (preg_match('/^(\s*)\d+[.)]\s+(.*)$/', $line, $m)) {
|
|||
|
|
[$html, $i] = self::list($lines, $i, $n, true);
|
|||
|
|
$out[] = $html;
|
|||
|
|
continue;
|
|||
|
|
}
|
|||
|
|
|
|||
|
|
// ---- 空行 ------------------------------------------------------
|
|||
|
|
if (trim($line) === '') {
|
|||
|
|
$i++;
|
|||
|
|
continue;
|
|||
|
|
}
|
|||
|
|
|
|||
|
|
// ---- 普通段落：连续非空行合成一段（软换行）-----------------------
|
|||
|
|
$buf = [$line];
|
|||
|
|
$i++;
|
|||
|
|
while ($i < $n && trim($lines[$i]) !== ''
|
|||
|
|
&& !preg_match('/^\s*(#{1,6}\s|>|```|~~~|[-*+]\s|\d+[.)]\s)/', $lines[$i])) {
|
|||
|
|
$buf[] = $lines[$i];
|
|||
|
|
$i++;
|
|||
|
|
}
|
|||
|
|
$para = implode("\n", $buf);
|
|||
|
|
// 段内换行 → <br>（Markdown 的"两个空格结尾"太隐晦，这里一律当硬换行）
|
|||
|
|
$html = self::inline($para);
|
|||
|
|
$html = str_replace("\n", "<br>", $html);
|
|||
|
|
$out[] = '<p class="md-p">' . $html . '</p>';
|
|||
|
|
}
|
|||
|
|
|
|||
|
|
$html = implode("\n", $out);
|
|||
|
|
return $inline ? $html : $html;
|
|||
|
|
}
|
|||
|
|
|
|||
|
|
/**
|
|||
|
|
* 解析一段列表（含**多级**：更深缩进的项嵌进上一项的里层）。
|
|||
|
|
*
|
|||
|
|
* 做法是经典的"按缩进栈"：把每一项的缩进记下来，遇到更深的就开一层新 <ul>，
|
|||
|
|
* 更浅就逐层关掉。这样"手工敲两个空格"也能自然形成层级，
|
|||
|
|
* 不需要用户去记"必须用 4 个空格"。
|
|||
|
|
*
|
|||
|
|
* @return array{0:string,1:int} [html, 新行号]
|
|||
|
|
*/
|
|||
|
|
private static function list(array $lines, int $i, int $n, bool $ordered): array
|
|||
|
|
{
|
|||
|
|
$html = '';
|
|||
|
|
$stack = []; // 每层的缩进宽度
|
|||
|
|
$tag = $ordered ? 'ol' : 'ul';
|
|||
|
|
|
|||
|
|
while ($i < $n) {
|
|||
|
|
$line = $lines[$i];
|
|||
|
|
$pat = $ordered ? '/^(\s*)\d+[.)]\s+(.*)$/' : '/^(\s*)[-*+]\s+(.*)$/';
|
|||
|
|
if (!preg_match($pat, $line, $m)) {
|
|||
|
|
// 非列表行：若是空行且后面还有更深的列表项，继续；否则结束
|
|||
|
|
if (trim($line) === '') {
|
|||
|
|
$i++;
|
|||
|
|
continue;
|
|||
|
|
}
|
|||
|
|
break;
|
|||
|
|
}
|
|||
|
|
$indent = strlen(str_replace("\t", ' ', $m[1]));
|
|||
|
|
$content = $m[2];
|
|||
|
|
|
|||
|
|
if (!$stack) {
|
|||
|
|
$html .= '<' . $tag . ' class="md-list">';
|
|||
|
|
$stack[] = $indent;
|
|||
|
|
} elseif ($indent > end($stack)) {
|
|||
|
|
// 更深 → 开新的一层（塞进上一个 <li> 里，成为它的子列表）
|
|||
|
|
$html .= '<' . $tag . ' class="md-list">';
|
|||
|
|
$stack[] = $indent;
|
|||
|
|
} elseif ($indent < end($stack)) {
|
|||
|
|
// 更浅 → 逐层关掉
|
|||
|
|
while ($stack && $indent < end($stack)) {
|
|||
|
|
array_pop($stack);
|
|||
|
|
$html .= '</li></' . $tag . '>';
|
|||
|
|
}
|
|||
|
|
if ($stack) {
|
|||
|
|
$html .= '</li>';
|
|||
|
|
}
|
|||
|
|
} else {
|
|||
|
|
$html .= '</li>';
|
|||
|
|
}
|
|||
|
|
|
|||
|
|
$html .= '<li class="md-li">' . self::inline(trim($content));
|
|||
|
|
$i++;
|
|||
|
|
}
|
|||
|
|
// 收尾：把还开着的层全部关掉（每层一个 </li> + </ul>）
|
|||
|
|
while ($stack) {
|
|||
|
|
array_pop($stack);
|
|||
|
|
$html .= '</li></' . $tag . '>';
|
|||
|
|
}
|
|||
|
|
return [$html, $i];
|
|||
|
|
}
|
|||
|
|
|
|||
|
|
/**
|
|||
|
|
* 行内语法：`code` → 粗体 → 斜体 → 链接 → 删除线。
|
|||
|
|
*
|
|||
|
|
* ⚠️ 顺序要紧：**先处理行内代码**，再处理粗斜体 ——
|
|||
|
|
* 否则 `` `a*b*c` `` 里的星号会被当斜体吃掉（代码里的字符不该被解释）。
|
|||
|
|
* ⚠️ 先 escape 再加标记：所有 `<` `>` `&` 在进来时就已经是实体了，
|
|||
|
|
* 我们只往里加**自己的**标签，不可能被注入。
|
|||
|
|
*/
|
|||
|
|
public static function inline(string $s): string
|
|||
|
|
{
|
|||
|
|
$s = e($s);
|
|||
|
|
|
|||
|
|
// `code`（先做，且内部不再解释其它语法）
|
|||
|
|
$s = preg_replace_callback('/`([^`\n]+)`/', static function ($m): string {
|
|||
|
|
return '<code class="md-icode">' . $m[1] . '</code>';
|
|||
|
|
}, $s) ?? $s;
|
|||
|
|
|
|||
|
|
//  图片（笔记里可能有，但我们**不内联渲染外部图片** ——
|
|||
|
|
// 那是隐私与外链风险；只显示成一个链接，点了自己开）
|
|||
|
|
$s = preg_replace_callback('/!\[([^\]]*)\]\(([^)\s]+)\)/', static function ($m): string {
|
|||
|
|
$u = self::safeUrl($m[2]);
|
|||
|
|
return $u === '' ? $m[1] : '<a class="md-link" href="' . $u . '" target="_blank" rel="noopener noreferrer">'
|
|||
|
|
. ($m[1] !== '' ? $m[1] : $u) . '</a>';
|
|||
|
|
}, $s) ?? $s;
|
|||
|
|
|
|||
|
|
// [文字](url)
|
|||
|
|
// ⚠️ URL 里遇到右括号就截断 —— 所以 `javascript:alert(1)` 这种带括号的
|
|||
|
|
// 会被切掉后半截（只剩 `javascript:alert(1`）→ 协议判定仍然不过 → 降级成纯文本。
|
|||
|
|
// 剩下的那截尾巴（`)`）会留在正文里，看着像个小瑕疵。
|
|||
|
|
// ⇒ 用回调把"不合法链接"的**整段原文**还原回去，而不是只留前半截。
|
|||
|
|
$s = preg_replace_callback('/\[([^\]]+)\]\(([^)\s]*)\)/', static function ($m): string {
|
|||
|
|
$u = self::safeUrl($m[2]);
|
|||
|
|
if ($u === '') {
|
|||
|
|
return $m[0]; // 不合法 → 原样保留（用户看到自己写的东西，而不是被切一半）
|
|||
|
|
}
|
|||
|
|
return '<a class="md-link" href="' . $u . '" target="_blank" rel="noopener noreferrer">'
|
|||
|
|
. $m[1] . '</a>';
|
|||
|
|
}, $s) ?? $s;
|
|||
|
|
|
|||
|
|
// **粗体** / __粗体__
|
|||
|
|
$s = preg_replace('/\*\*(.+?)\*\*/s', '<strong>$1</strong>', $s) ?? $s;
|
|||
|
|
$s = preg_replace('/__(.+?)__/s', '<strong>$1</strong>', $s) ?? $s;
|
|||
|
|
// *斜体* / _斜体_（** 已经先被吃掉，所以这里不会误伤）
|
|||
|
|
$s = preg_replace('/\*(.+?)\*/s', '<em>$1</em>', $s) ?? $s;
|
|||
|
|
// ~~删除线~~
|
|||
|
|
$s = preg_replace('/~~(.+?)~~/s', '<del>$1</del>', $s) ?? $s;
|
|||
|
|
|
|||
|
|
return $s;
|
|||
|
|
}
|
|||
|
|
|
|||
|
|
/** 只放行 http / https / mailto；其它（含 javascript:）返回空串 */
|
|||
|
|
private static function safeUrl(string $u): string
|
|||
|
|
{
|
|||
|
|
$u = trim($u);
|
|||
|
|
if ($u === '') {
|
|||
|
|
return '';
|
|||
|
|
}
|
|||
|
|
// 已 escape 过，还原常见实体再做协议判定
|
|||
|
|
$raw = html_entity_decode($u, ENT_QUOTES | ENT_HTML5, 'UTF-8');
|
|||
|
|
if (!preg_match('#^(https?:|mailto:)#i', $raw)) {
|
|||
|
|
return '';
|
|||
|
|
}
|
|||
|
|
return $u;
|
|||
|
|
}
|
|||
|
|
|
|||
|
|
/**
|
|||
|
|
* 纯文本摘要（列表页卡片用）：把 Markdown 记号去掉，只留可读的字。
|
|||
|
|
* 比"渲染成 HTML 再 strip_tags"更省，也不会把 `**` 这种记号露给用户。
|
|||
|
|
*/
|
|||
|
|
public static function excerpt(string $src, int $len = 120): string
|
|||
|
|
{
|
|||
|
|
$s = str_replace(["\r\n", "\r"], "\n", $src);
|
|||
|
|
// 去掉代码围栏标记、标题号、引用号、列表号
|
|||
|
|
$s = preg_replace('/^\s*(```+|~~~+).*$/m', '', $s) ?? $s;
|
|||
|
|
$s = preg_replace('/^\s*#{1,6}\s*/m', '', $s) ?? $s;
|
|||
|
|
$s = preg_replace('/^\s*>\s?/m', '', $s) ?? $s;
|
|||
|
|
$s = preg_replace('/^\s*(?:[-*+]|\d+[.)])\s+/m', '', $s) ?? $s;
|
|||
|
|
// 去掉行内标记
|
|||
|
|
$s = preg_replace('/\*\*(.+?)\*\*/s', '$1', $s) ?? $s;
|
|||
|
|
$s = preg_replace('/\*(.+?)\*/s', '$1', $s) ?? $s;
|
|||
|
|
$s = preg_replace('/~~(.+?)~~/s', '$1', $s) ?? $s;
|
|||
|
|
$s = preg_replace('/`([^`\n]+)`/', '$1', $s) ?? $s;
|
|||
|
|
$s = preg_replace('/!?\[([^\]]*)\]\([^)\s]+\)/', '$1', $s) ?? $s;
|
|||
|
|
$s = preg_replace('/\s+/u', ' ', $s) ?? $s;
|
|||
|
|
$s = trim($s);
|
|||
|
|
if (mb_strlen($s, 'UTF-8') > $len) {
|
|||
|
|
$s = mb_substr($s, 0, $len, 'UTF-8') . '…';
|
|||
|
|
}
|
|||
|
|
return $s;
|
|||
|
|
}
|
|||
|
|
}
|