HTML、转义与安全边界

需要显示符号时

在有语法含义的标点前加反斜线，例如 \# 不是标题、\*不是斜体\*、\[不是链接\]。代码示例优先放入代码围栏，避免大量手动转义。字母前加反斜线不一定产生转义。

HTML 实体如 &、< 可表示 & 与 <；在代码区域通常希望保留字面实体而非解码。编辑后检查实际可见结果，而不是只看源码字符。

Markdown 与原始 HTML

原始 Markdown 和 CommonMark 描述了嵌入 HTML 的处理，但具体应用可以选择禁用或过滤。语法规范不是执行权限许可。当前 Yeli 关闭作者原始 HTML 渲染，并通过最终清理边界处理输出。

<script>
  alert("example");
</script>

这是展示用代码，不应执行。HTML、SVG、iframe、事件属性或 javascript: 链接不能当作跨平台排版方案；当前 Yeli 不允许文档提供可执行插件。

文件本身的信任

Yeli 会保护 Markdown 渲染边界，但 .yeli.html 自身携带运行时代码。因此只打开可信源的可编辑文件；文件里显示的“安全”字样不能证明这个文件安全。向不可信来源读者发布时，使用只读导出。

练习：写出字面 **important**、一个代码中的 HTML 标签，再检查预览不会执行或错误格式化。