league/commonmark 是 Laravel 渲染 Markdown 最稳妥的选择，安全、扩展性强，支持现代语法；需正确安装、封装 Blade 指令并调用 getContent()，同时过滤 HTML 防 XSS，可选配高亮扩展。
用 league/commonmark 渲染 Markdown 是当前 Laravel 最稳妥的选择
Laravel 本身不内置 Markdown 解析器，官方推荐且社区最常用的是 league/commonmark（v2+），它比老旧的 michelf/php-markdown 更安全、扩展性更强，也原生支持自定义 HTML 标签、表格、任务列表等现代语法。
安装命令直接运行：
composer require league/commonmark
不需要额外服务提供者注册（v2 起自动发现），开箱即用。注意别装错包名——常见错误是误装 commonmark（无 league/ 前缀），那是个废弃的旧版。
在 Blade 模板中安全渲染 Markdown 内容
不能直接把 CommonMarkConverter 实例塞进 Blade 里调用，否则每次渲染都新建对象，性能差还难测试。推荐封装成 Blade 指令或辅助函数。
立即学习“前端免费学习笔记（深入）”；
在 app/Providers/AppServiceProvider.php 的 boot() 方法中注册指令：
use League\CommonMark\Environment\Environment; use League\CommonMark\Extension\CommonMark\CommonMarkExtension; use League\CommonMark\MarkdownConverter;// ... boot() 方法内 $environment = new Environment(); $environment->addExtension(new CommonMarkExtension()); $converter = new MarkdownConverter($environment);
Blade::directive('markdown', function ($expression) use ($converter) { return "convertToHtml($expression)->getContent(); ?>"; });
然后在 Blade 中这样用：
@markdown($post->content)
⚠️ 关键点：$converter->convertToHtml() 返回的是 League\CommonMark\Node\Block\Document 对象，必须链式调用 getContent() 才能得到字符串；漏掉这步会报 “Object of class … could not be converted to string” 错误。
处理用户输入时务必过滤 HTML，避免 XSS
如果 $post->content 来自富文本编辑器或用户表单，即使用了 CommonMark，也不能跳过 HTML 过滤——因为 CommonMark 允许内联 HTML（默认开启），攻击者可插入 或
解决方法有两个：
- 禁用 HTML 输入：初始化
Environment时关闭 HTML 扩展：$environment->addExtension(new HtmlExtension(['allow_unsafe_links' => false]));
（需额外composer require league/commonmark-ext-html） - 更推荐：用
htmlspecialchars()包裹输出（仅当确定内容不含合法 HTML）：{{ htmlspecialchars($converter->convertToHtml($content)->getContent()) }}
不要依赖 Blade 的双花括号自动转义——它只对原始字符串生效，而 convertToHtml() 返回的是已解析的 HTML 字符串，Blade 会原样输出，不二次转义。
需要高亮代码块？加 league/commonmark-ext-highlight-js
默认 CommonMark 不支持代码块语法高亮（如 ```php）。要启用，先装扩展：
composer require league/commonmark-ext-highlight-js
再在环境配置中注册：
use League\CommonMark\Extension\Highlight\HighlightExtension;$environment->addExtension(new HighlightExtension());
它依赖客户端 highlight.js CSS/JS，记得在页面引入对应资源。如果不加这步，```php 会被渲染成普通 ，没颜色也没行号。
另外注意：高亮扩展默认使用 highlight.js 的 CDN 版本，若项目离线部署，得手动下载并替换路径，否则控制台报 404。
