nodecli: markedのsanitizeオプションはdeprecatedとなった

[azu]

https://github.com/markedjs/marked/releases/tag/v0.7.0

nodecliで利用してる marked のsanitizeオプションは非推奨となったので、なんか別のライブラリとかにしたほうがいいような気がしてる。

[azu]

https://www.npmtrends.com/marked-vs-markdown-it-vs-showdown-vs-remark-html

markdown-itが妥当な感じはするけど、オプション逆なんだよね(普通はそうな気がするけど、意外とそういうのが少ない)
https://github.com/markdown-it/markdown-it

[lacolaco]

https://github.com/markdown-it/markdown-it/blob/master/docs/security.md

markdown-itもHTMLを有効にするなら外部のサニタイザーを使ってって書いてる

[lacolaco]

サニタイザー内包してるほうが少なそう

[azu]

markdown-it はまあデフォルトがHTML無効だからまだいいけど、
https://github.com/azu/safe-marked
デフォルトが安全じゃないのが多いからわざわざこういうの書いた記憶もある。
(DOMPurify どう考えても使い方が難しい)

[lacolaco]

markdown-itにしてsanitizeの項目消しちゃう感じの想定です？

[azu]

markdown-itにしてsanitizeの項目消しちゃう感じの想定です？

markdown-itにして、--enable-html みたいなオプションを追加するとか?

https://github.com/commonmark/commonmark.js
はmarkedと似た感じだけど、こっちはgfmオプションはないんだ(こっちも0.x系…)

[azu]

オプションがバージョンで変わるのはしょうがないんだけど、機能そのものがライブラリから消えちゃうパターンなのがちょっとネックなんだよなー

取れそうな選択肢

• marked の バージョンを固定しちゃう (でもGitHub Security Alertにでてくる)
• marked + サニタイズライブラリで実装する
• 他のなにかにする
• marked でサニタイズ以外のオプションにする

[yumetodo]

ところでJS製のライブラリにこだわる必要ってあるんでしょうか・・・？

[azu]

@yumetodo 趣旨がよくわからないです。
環境依存とかを考えると、ネイティブライブラリを検討するのは難しいと思います。

[azu]

このIssueは #928 にマージされる。
基本的には扱わないように消すという方向。