CodeIgniter需手动集成第三方Markdown解析器（如Parsedown），注意XSS防护、HTML转义与缓存协同；推荐封装为服务类，禁用动态内容全页缓存，高亮依赖前端highlight.js，且须清洗危险URL。
CodeIgniter 本身不内置 Markdown 解析器，想渲染 Markdown 文章必须手动集成第三方解析器（如 erusev/parsedown、michelf/php-markdown 或轻量级的 cebe/markdown），且需注意输出转义、XSS 防护和缓存协同问题。
用 erusev/parsedown 实现安全基础渲染
这是目前最常用、维护活跃、无依赖的 PHP Markdown 解析器。它默认不转义 HTML，但 CodeIgniter 的视图层不会自动过滤原始 HTML 输出，直接 echo 可能导致 XSS —— 所以你必须自己控制是否允许内联 HTML。
- 通过 Composer 安装：
composer require erusev/parsedown - 在控制器中加载并使用（推荐封装为服务类或库）：
$parsedown = new \Parsedown(); $html = $parsedown->text($markdown_content); // 不过滤 HTML // 若需禁用 HTML，先调用 $parsedown->setSafeMode(true);
- 切勿将用户提交的原始 Markdown 直接传入
text()后原样输出；如需保留部分 HTML（如<video></video>、<iframe></iframe>），应配合 CSP 策略或白名单过滤器（如HTMLPurifier）
在视图中复用解析逻辑：避免重复实例化
每次在视图里 new \Parsedown() 是低效且易出错的。CodeIgniter 的标准做法是把解析器注册为「自定义库」或「服务类」，再在控制器中注入或加载。
- 创建
application/libraries/Markdown_parser.php：<?php defined('BASEPATH') OR exit('No direct script access allowed'); class Markdown_parser { protected $parser; <pre class="brush:php;toolbar:false;">public function __construct() { $this->parser = new \Parsedown(); $this->parser->setSafeMode(true); // 默认关闭 HTML } public function parse($text) { return $this->parser->text($text); }}
- 控制器中加载：
$this->load->library('markdown_parser'); - 传递到视图：
$data['content_html'] = $this->markdown_parser->parse($post['body']); $this->load->view('post/view', $data); - 视图中直接输出：
=$content_html?>（注意：此处不能用html_escape()，否则会把变成文字）
配合 CodeIgniter 缓存时的常见陷阱
如果你对文章详情页启用了页面缓存（$this->output->cache(60)），而 Markdown 内容又含动态元素（如当前时间、用户昵称、未读数 badge），缓存会把解析后的静态 HTML 固化，导致后续请求看不到更新。
- 不要对含用户上下文的 Markdown 页面整体启用
cache() - 若仅缓存 Markdown 解析结果，建议用 CodeIgniter 的
cache()->save()按原文本 hash 存储：$cache_key = 'md_' . md5($raw_markdown); $html = $this->cache->get($cache_key) ?: $this->markdown_parser->parse($raw_markdown); $this->cache->save($cache_key, $html, 3600); - 注意：
parsedown对相同输入始终输出相同 HTML，但不同版本可能有细微差异，升级前务必回归测试渲染结果
扩展支持代码块高亮（非必须但很实用）
原生 parsedown 不处理 ```js 这类语法高亮，需要手动钩住 blockCodeComplete 或改用支持扩展的变体（如 parsedown-extra）。更简单的方式是：在解析后用正则匹配 <pre class="brush:php;toolbar:false;"><code class="xxx"></code>，再交由前端 <code>highlight.js</code> 渲染。</pre>
- 确保解析器输出的
<code>标签带class="js"属性（parsedown默认支持，只要源码块首行是 ```js） - 视图底部引入：
<link rel="stylesheet" href="https://cdn.jsdelivr.net/npm/highlight.js@11.9.0/styles/github-dark.min.css"> <script src="https://cdn.jsdelivr.net/npm/highlight.js@11.9.0"></script><script>hljs.highlightAll();</script> - 关键点：CodeIgniter 输出的 HTML 必须保留原始
class属性，不能被html_escape()或模板引擎二次转义
真正容易被忽略的是 XSS 边界：你以为关了 safeMode 就安全，其实 parsedown 允许链接写成 [x](javascript:alert(1))，这种 URL 在点击时仍会执行 JS —— 如果你允许用户提交 Markdown，就必须额外清洗 href 和 src 属性，或者全程启用 safeMode 并接受功能受限。
