一般的に、マークダウンが実装されている入力欄へ記述したurlにリンクが貼られることは、セキュリティ的に問題ありませんか？　正しい挙動ですか？


マークダウンにurlだけリンクが貼られることは、セキュリティに問題ありませんか？

試したこと  
マークダウンが実装されている入力欄に、下記htmlを記述すると、aタグは無効化されますが、展開されたURL部分にリンクが自動的に張られます。  
これは正しい挙動ですか？

[code]

    <a href="https://ja.stackoverflow.com/questions/ask">質問する - スタック・オーバーフロー</a>
    
[/code]

任意userが投稿可能なフォームでは、リンクが貼られること自体が問題なのではなく、HTMLタグ使用可の状態がセキュリティ的に問題あるということですか？




マークダウンの出力側がHTMLタグを解釈するか、無視するか除外するかどうかは[出力側にゆだねられて](https://tex2e.github.io/rfc-
translater/html/rfc7763.html)おり、一般的には決定事項ではないです。

ですが、あまりに方言が多くなり、マークダウンの仕様の違いに対して問題提起をして  
マークダウンを一般化を進めている[CommonMark](https://commonmark.org/)というプロジェクトにおいてはタグが容認されています。  
試してみてください  
<https://spec.commonmark.org/dingus/>

ですがまだまだ方言が多く採用しているパーサー（マークダウンを解析し出力する）によってはタグが容認されたりされなかったりします。

そのため正しい挙動ですかという意味では、そのパーサーの仕様なので正しい挙動です。

任意のHTMLが出力でき、スクリプトの実行が可能な場合は  
・別のWebページへのリダイレクト  
・リモートコンテンツのダウンロード  
・個人を特定できる情報のアップロード  
などの実行が可能になります。場合によってはブラウザの脆弱性をついての攻撃や無限にウインドウを出すなどの悪質な嫌がらせも可能になります。

もちろんHTMLの中でセキュリティ的に懸念になるタグや属性を排除して、開発することも可能ですが、ほぼHTMLを解析する機能を開発をすることになるので、開発するコストもHTMLの仕様の変更に対応する保守もそれなりにかかる印象です。




マークダウンの出力側がHTMLタグを解釈するか、無視するか除外するかどうかは[出力側にゆだねられて](https://tex2e.github.io/rfc-
translater/html/rfc7763.html)おり、一般的には決定事項ではないです。

ですが、あまりに方言が多くなり、マークダウンの仕様の違いに対して問題提起をして  
マークダウンを一般化を進めている[CommonMark](https://commonmark.org/)というプロジェクトにおいてはタグが容認されています。  
試してみてください  
<https://spec.commonmark.org/dingus/>

ですがまだまだ方言が多く採用しているパーサー（マークダウンを解析し出力する）によってはタグが容認されたりされなかったりします。

そのため正しい挙動ですかという意味では、そのパーサーの仕様なので正しい挙動です。

任意のHTMLが出力でき、スクリプトの実行が可能な場合は  
・別のWebページへのリダイレクト  
・リモートコンテンツのダウンロード  
・個人を特定できる情報のアップロード  
などの実行が可能になります。場合によってはブラウザの脆弱性をついての攻撃や無限にウインドウを出すなどの悪質な嫌がらせも可能になります。

もちろんHTMLの中でセキュリティ的に懸念になるタグや属性を排除して、開発することも可能ですが、ほぼHTMLを解析する機能を開発をすることになるので、開発するコストもHTMLの仕様の変更に対応する保守もそれなりにかかる印象です。

