league/commonmark 是 Laravel 渲染 Markdown 最稳妥的选择，安全、扩展性强，支持现代语法；需正确安装、封装 Blade 指令并调用 getContent()，同时过滤 HTML 防 XSS，可选配高亮扩展。

用 league/commonmark 渲染 Markdown 是当前 Laravel 最稳妥的选择

Laravel 本身不内置 Markdown 解析器，官方推荐且社区最常用的是 league/commonmark（v2+），它比老旧的 michelf/php-markdown 更安全、扩展性更强，也原生支持自定义 HTML 标签、表格、任务列表等现代语法。

安装命令直接运行：

composer require league/commonmark

不需要额外服务提供者注册（v2 起自动发现），开箱即用。注意别装错包名——常见错误是误装 commonmark（无 league/ 前缀），那是个废弃的旧版。

在 Blade 模板中安全渲染 Markdown 内容

不能直接把 CommonMarkConverter 实例塞进 Blade 里调用，否则每次渲染都新建对象，性能差还难测试。推荐封装成 Blade 指令或辅助函数。

在 app/Providers/AppServiceProvider.php 的 boot() 方法中注册指令：

use League\CommonMark\Environment\Environment;
use League\CommonMark\Extension\CommonMark\CommonMarkExtension;
use League\CommonMark\MarkdownConverter;
// ... boot() 方法内
$environment = new Environment();
$environment->addExtension(new CommonMarkExtension());
$converter = new MarkdownConverter($environment);
Blade::directive('markdown', function ($expression) use ($converter) {
return "convertToHtml($expression)->getContent(); ?>";
});

然后在 Blade 中这样用：

@markdown($post->content)

⚠️ 关键点：$converter->convertToHtml() 返回的是 League\CommonMark\Node\Block\Document 对象，必须链式调用 getContent() 才能得到字符串；漏掉这步会报 “Object of class … could not be converted to string” 错误。

处理用户输入时务必过滤 HTML，避免 XSS

如果 $post->content 来自富文本编辑器或用户表单，即使用了 CommonMark，也不能跳过 HTML 过滤——因为 CommonMark 允许内联 HTML（默认开启），攻击者可插入 或 。

解决方法有两个：

• 禁用 HTML 输入：初始化 Environment 时关闭 HTML 扩展：

  $environment->addExtension(new HtmlExtension(['allow_unsafe_links' => false]));

  （需额外 composer require league/commonmark-ext-html）
• 更推荐：用 htmlspecialchars() 包裹输出（仅当确定内容不含合法 HTML）：

  {{ htmlspecialchars($converter->convertToHtml($content)->getContent()) }}

不要依赖 Blade 的双花括号自动转义——它只对原始字符串生效，而 convertToHtml() 返回的是已解析的 HTML 字符串，Blade 会原样输出，不二次转义。

需要高亮代码块？加 league/commonmark-ext-highlight-js

默认 CommonMark 不支持代码块语法高亮（如 ```php）。要启用，先装扩展：

composer require league/commonmark-ext-highlight-js

再在环境配置中注册：

use League\CommonMark\Extension\Highlight\HighlightExtension;
$environment->addExtension(new HighlightExtension());

它依赖客户端 highlight.js CSS/JS，记得在页面引入对应资源。如果不加这步，```php 会被渲染成普通

，没颜色也没行号。

另外注意：高亮扩展默认使用 highlight.js 的 CDN 版本，若项目离线部署，得手动下载并替换路径，否则控制台报 404。