Tolaria 独立 HTML 文件沙箱预览机制基于 sanitize 不透明源 iframe 的安全渲染与资源治理【免费下载链接】tolariaDesktop app to manage markdown knowledge bases项目地址: https://gitcode.com/GitHub_Trending/to/tolaria导读Tolaria 是一款用于管理 Markdown 知识库的桌面应用但在真实工作流中知识库内常常会混入由文档生成工具产出的独立.html/.htm文件——例如自动生成的报表、规格说明、原型页面它们通常还携带同级的 CSS 样式表与图片资源。本文以 ADR-0168Sandboxed standalone HTML file previews 为骨架完整讲解 Tolaria 如何在编辑器面板内安全渲染这类 HTML 文件从先净化再入 iframe的决策、严格 CSP 与sandbox属性的双层隔离到本地静态资源的相对路径解析、vault 边界校验与 Tauri asset 协议转换以及预览 ↔ CodeMirror 源码编辑的切换流程。读完本文你将掌握该方案的完整安全模型、核心实现链路与可验证的源码证据可直接用于理解或复刻同类桌面应用中的不可信 HTML 预览能力。背景与决策为什么不能直接把 HTML 塞进编辑器ADR-0168 记录的背景Context非常直接生成的文档、报表与原型经常以独立 HTML 文件的形式与样式、图片存放在一起。若只在系统浏览器中打开这些文件会打断 vault 内的工作流而若把任意 vault HTML 直接渲染进 Tolaria 的应用文档 DOM则可能暴露父级 DOM甚至暴露 Tauri IPC 接口——这是桌面应用场景下最严重的风险面之一。因此该 ADR 的决策是Tolaria 在编辑器面板中通过净化过的、不透明源opaque-originiframe 预览渲染独立 HTML 文件并使用现有的 raw-mode源码模式控件进行源码编辑。整个方案可以拆成三个相互独立又彼此配合的层次内容净化层设置srcdoc之前先移除脚本、事件处理器、表单、嵌套 frame、内嵌对象等一切活动内容加载约束层注入限制性 CSP 并省略allow-scripts/allow-same-origin使预览内容无法触碰 Tolaria 的文档、存储或 Tauri IPC资源治理层被动资源图片、样式等相对 HTML 文件解析仅在规范化路径仍位于活跃 vault 内时接受并转换为既有的 scoped Tauri asset URL远程被动加载一律移除。备选方案对比四个方向的权衡ADR 中记录了几个被否定的备选方案理解它们有助于把握该决策的边界仅用系统浏览器打开边界最干净但破坏了应用内阅读且预览/编辑往返迭代非常繁琐直接在应用 DOM 中渲染文档样式无缝但给不可信标记的权限过大直接威胁 Tolaria 的 UI 与运行时启用脚本的沙箱 iframe可以支撑交互式原型但把安全与资源治理面扩大到了超出该查看器需求的范围从临时 localhost 服务器提供文件资源相对加载最接近浏览器行为但引入了进程、端口、生命周期与网络源等额外复杂度。最终方案选择了净化的不透明源 iframe 被动资源重写在阅读体验、安全边界与实现复杂度之间取得平衡。源码实现链路从判定 HTML 条目到生成 srcdoc从源码结构看HTML 文件预览是一条完整的前端renderer链路不涉及任何新的 native 命令也不需要持久化文件种类——这正是 ADR 在 Consequences 中强调的renderer-owned属性。第一步如何判定一个条目是 HTML 文件src/utils/filePreview.ts 提供了两类判定函数isHtmlFileEntry(entry)通过previewExtension()提取扩展名命中html或htm即视为 HTML 文件entrySupportsPreviewSourceToggle(entry)md、markdown、html、htm四类条目支持预览 ↔ 源码切换这为后续 raw-mode 复用提供了依据。第二步编辑器面板如何决定显示预览在 src/components/editor-content/editorContentState.ts 中deriveVisibilityState()基于当前激活标签计算视图状态isHtmlPreview !!activeTab isHtmlFileEntry(activeTab.entry)同时effectiveRawMode rawMode || isNonMarkdownTextshowEditor !effectiveRawMode——即一旦切到源码模式预览区让位给编辑器。渲染层在 EditorContentLayout.tsx 的EditorCanvas中消费该状态当isHtmlPreview且存在activeTab时直接渲染HtmlFilePreview组件并把content、path、title、vaultPath传给它HTML 预览与电子表格sheet一样使用editor-content-width--wide宽布局见同文件 L556-L559。第三步HtmlFilePreview 组件与 iframe 沙箱src/components/HtmlFilePreview.tsx 是预览 UI 本体核心要点用useMemo调用htmlFilePreviewSrcDoc()生成srcDoc依赖content、path、vaultPath变化重建iframe 的sandboxallow-popups allow-popups-to-escape-sandbox刻意不授予allow-scripts与allow-same-origin——这是不透明源的关键。没有allow-same-originiframe 内容与父文档永远处于不同源即使内容被攻破也无法读取父文档 DOM、本地存储或 IPC 桥allow-popups则允许链接在新上下文打开同时设置referrerPolicyno-referrer、tabIndex{-1}并提供data-testidhtml-file-preview供测试定位组件挂载时上报html_file_preview_opened事件telemetry并在window blur时把焦点从 iframe 释放回隐藏按钮避免键盘焦点困在沙箱内。内容净化与 CSPhtmlFilePreviewSrcDoc 的三段式管线预览的核心算法集中在 src/utils/htmlFilePreview.ts 的htmlFilePreviewSrcDoc()它对原始 HTML 依次执行净化 → 资源策略 → 注入元信息sanitize (DOMPurify) → parse (DOMParser) → applyPreviewResourcePolicy → installPreviewMetadata → srcdoc第一段DOMPurify 净化配置SANITIZE_CONFIG 是净化规则的精确表达ADD_TAGS: [link]保留link否则样式表无法加载FORBID_TAGS禁止base、embed、form、frame、iframe、input、meta、object、script、select、textarea——脚本、事件处理器、表单、嵌套 frame、内嵌对象等活动内容在此被整体移除USE_PROFILES: { html: true, svg: true, svgFilters: true }允许 HTML 与 SVG 呈现WHOLE_DOCUMENT: true按完整文档处理保留文档骨架。第二段注入限制性 CSPPREVIEW_CSP 在净化后的文档head最前面注入installPreviewMetadata还顺带前置了utf-8charset metadefault-src none; script-src none; connect-src none; worker-src none; frame-src none; object-src none; form-action none; base-uri none; img-src asset: http://asset.localhost data: blob:; media-src asset: http://asset.localhost data: blob:; font-src asset: http://asset.localhost data:; style-src unsafe-inline asset: http://asset.localhost逐项含义default-src none 各专项none脚本、网络连接、worker、嵌套 frame、object、表单提交、base URL 修改全部禁用被动媒体只放行 Tauri asset 协议asset:与http://asset.localhost以及data:/blob:内联数据style-src unsafe-inline是为保留内联样式所必需的折衷——这也是 tauri.conf.json 中dangerousDisableAssetCspModification: [style-src]存在的原因即允许预览注入的 style-src 规则不被 Tauri 的资产 CSP 篡改远程被动加载https:等未列入任何-src因此会被 CSP 直接拦截同时资源重写阶段也会主动剔除它们。第三段CSP 与 sandbox 的双层隔离净化移除活动元素CSP 禁止活动能力sandbox缺省allow-scripts/allow-same-origin则保证不透明源。即使某条绕过净化的脚本被注入它也无法在同源上下文中执行、无法访问父文档——三层措施互为兜底。这正是 ADR 中预览内容不能访问 Tolaria 的文档、存储或 Tauri IPC这一结论的落地方式。资源重写策略本地资源如何被解析、校验与转换净化只解决代码执行而样式、图片、字体等被动资源仍需正常显示。applyPreviewResourcePolicyhtmlFilePreview.ts对文档内所有元素、style文本与link做统一重写核心逻辑在localAssetUrl()L117-L131白名单分流data:/blob:直接保留匹配REMOTE_OR_PRIVILEGED_URL^(?:[a-z][a-z.-]*:|\/\/)即任意协议或//开头的远程/特权 URL 一律返回null并移除相对路径解析借助resolvedVaultResourcePath()L107-L115把引用解析为绝对路径——以/开头时基于 vault 根否则基于 HTML 文件所在目录parentDirectory路径折叠与边界校验collapsePathSegments()L63-L81处理./..段与盘符最终用isPathInsideVaultRoot()校验——该函数位于 src/utils/vaultPathContainment.ts比较时归一化分隔符、展开~根并兼容 Windows 盘符大小写只有规范化后仍在活跃 vault 内的路径才被接受协议转换通过 Tauri 的convertFileSrc()来自tauri-apps/api/core见 HtmlFilePreview.tsx将绝对磁盘路径转换为 scoped asset URL并保留?query/#fragment后缀safeResourceSuffix会编码空白与特殊字符。这一策略在多个维度上执行元素级遍历poster、src、xlink:href三类 URL 属性、srcset候选列表含像素密度描述符以及内联style中的资源文本级用CSS_URLurl(...)与CSS_STRING_IMPORTimport ...正则重写style内的引用失败的引用降级为data:,空数据链接级rewriteStylesheetLink()只保留rel含stylesheet的linkrewriteAnchor()把站内链接转换为 asset URL站外/远程链接移除href并统一加上target_blank、relnoreferrer noopener——与 ADR 中链接以 noopener/noreferrer 在新外部上下文打开的表述一一对应。预览与源码编辑的切换复用 raw-mode 与既有保存语义ADR 明确要求作者需要一条不丢失预览的直接返回源文件路径。Tolaria 的答案是复用既有 raw-mode 控件面包屑栏的源码按钮或Cmd/Ctrl\快捷键将 HTML 文件切入既有的 CodeMirror 原始编辑器EditorContentLayout.tsx 的RawModeEditorSection由effectiveRawMode驱动源码模式下普通保存行为照常生效onSave再次切换则基于当前标签页内容重建预览——HtmlFilePreview的useMemo以content为依赖保存后的最新文本会立即反映到新生成的srcDoc值得注意的是BreadcrumbBar.tsx 中 HTML 条目会隐藏收藏、整理、邻域浏览、笔记宽度、目录等与 Markdown 编辑相关的动作避免把不适用于 HTML 的能力暴露给用户。从测试证据看editorContentState.test.ts 断言打开 HTML 条目时isHtmlPreview为trueEditorContentLayout.test.tsx 同样覆盖了该状态。这为HTML 文件进入预览面的行为提供了自动化保障。与相关 ADR 的衔接vault 资产作用域HTML 预览的资源治理并非孤岛。它复用了与 Tauri asset 协议一致的作用域思路tauri.conf.json 启用了assetProtocolenable: true而dangerousDisableAssetCspModification: [style-src]允许预览页自定义 style 策略早期的 ADR-0098In-app image and PDF file previews 与 ADR-0099Cumulative vault asset scope 奠定了资产加载必须限定在 vault 范围内的既有原则ADR-0168 的isPathInsideVaultRoot校验正是对该原则在 HTML 场景下的延续——HTML 报告引用的样式、图片、字体、媒体只有在仍位于活跃 vault 内时才工作外部资源一律不加载。效果与边界能做什么不能做什么结合 ADR 的 Consequences 与实现可以明确该方案的能力边界能做的HTML 报告可在 Tolaria 内直接阅读与编辑无需离开应用本地样式、图片、字体与媒体在位于活跃 vault 内时正常渲染通过 asset URL 加载站内链接可点击并在外部新上下文打开编辑后可一键切回预览。明确不做的脚本与表单驱动的交互式原型不会在预览模式执行需要交互时用户仍可通过既有的在默认应用中打开命令open in default app在系统浏览器中查看远程被动资源被移除且 CSP 从网络层禁止一切外部连接该功能完全由 renderer 承担不新增 native 命令、不改变文件种类判定降低了 Tauri 侧的攻击面与维护成本。参考路径速查决策文档docs/adr/0168-sandboxed-standalone-html-file-previews.md预览核心算法净化、CSP、资源重写src/utils/htmlFilePreview.ts预览 UI 组件iframe 沙箱属性src/components/HtmlFilePreview.tsx视图状态推导isHtmlPreview/effectiveRawModesrc/components/editor-content/editorContentState.ts编辑区布局与 raw-mode 切换src/components/editor-content/EditorContentLayout.tsxHTML 条目判定与预览源切换判定src/utils/filePreview.tsvault 路径边界校验src/utils/vaultPathContainment.ts相关测试editorContentState.test.ts、EditorContentLayout.test.tsx【免费下载链接】tolariaDesktop app to manage markdown knowledge bases项目地址: https://gitcode.com/GitHub_Trending/to/tolaria创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
Tolaria 独立 HTML 文件沙箱预览机制：基于 sanitize + 不透明源 iframe 的安全渲染与资源治理
Tolaria 独立 HTML 文件沙箱预览机制基于 sanitize 不透明源 iframe 的安全渲染与资源治理【免费下载链接】tolariaDesktop app to manage markdown knowledge bases项目地址: https://gitcode.com/GitHub_Trending/to/tolaria导读Tolaria 是一款用于管理 Markdown 知识库的桌面应用但在真实工作流中知识库内常常会混入由文档生成工具产出的独立.html/.htm文件——例如自动生成的报表、规格说明、原型页面它们通常还携带同级的 CSS 样式表与图片资源。本文以 ADR-0168Sandboxed standalone HTML file previews 为骨架完整讲解 Tolaria 如何在编辑器面板内安全渲染这类 HTML 文件从先净化再入 iframe的决策、严格 CSP 与sandbox属性的双层隔离到本地静态资源的相对路径解析、vault 边界校验与 Tauri asset 协议转换以及预览 ↔ CodeMirror 源码编辑的切换流程。读完本文你将掌握该方案的完整安全模型、核心实现链路与可验证的源码证据可直接用于理解或复刻同类桌面应用中的不可信 HTML 预览能力。背景与决策为什么不能直接把 HTML 塞进编辑器ADR-0168 记录的背景Context非常直接生成的文档、报表与原型经常以独立 HTML 文件的形式与样式、图片存放在一起。若只在系统浏览器中打开这些文件会打断 vault 内的工作流而若把任意 vault HTML 直接渲染进 Tolaria 的应用文档 DOM则可能暴露父级 DOM甚至暴露 Tauri IPC 接口——这是桌面应用场景下最严重的风险面之一。因此该 ADR 的决策是Tolaria 在编辑器面板中通过净化过的、不透明源opaque-originiframe 预览渲染独立 HTML 文件并使用现有的 raw-mode源码模式控件进行源码编辑。整个方案可以拆成三个相互独立又彼此配合的层次内容净化层设置srcdoc之前先移除脚本、事件处理器、表单、嵌套 frame、内嵌对象等一切活动内容加载约束层注入限制性 CSP 并省略allow-scripts/allow-same-origin使预览内容无法触碰 Tolaria 的文档、存储或 Tauri IPC资源治理层被动资源图片、样式等相对 HTML 文件解析仅在规范化路径仍位于活跃 vault 内时接受并转换为既有的 scoped Tauri asset URL远程被动加载一律移除。备选方案对比四个方向的权衡ADR 中记录了几个被否定的备选方案理解它们有助于把握该决策的边界仅用系统浏览器打开边界最干净但破坏了应用内阅读且预览/编辑往返迭代非常繁琐直接在应用 DOM 中渲染文档样式无缝但给不可信标记的权限过大直接威胁 Tolaria 的 UI 与运行时启用脚本的沙箱 iframe可以支撑交互式原型但把安全与资源治理面扩大到了超出该查看器需求的范围从临时 localhost 服务器提供文件资源相对加载最接近浏览器行为但引入了进程、端口、生命周期与网络源等额外复杂度。最终方案选择了净化的不透明源 iframe 被动资源重写在阅读体验、安全边界与实现复杂度之间取得平衡。源码实现链路从判定 HTML 条目到生成 srcdoc从源码结构看HTML 文件预览是一条完整的前端renderer链路不涉及任何新的 native 命令也不需要持久化文件种类——这正是 ADR 在 Consequences 中强调的renderer-owned属性。第一步如何判定一个条目是 HTML 文件src/utils/filePreview.ts 提供了两类判定函数isHtmlFileEntry(entry)通过previewExtension()提取扩展名命中html或htm即视为 HTML 文件entrySupportsPreviewSourceToggle(entry)md、markdown、html、htm四类条目支持预览 ↔ 源码切换这为后续 raw-mode 复用提供了依据。第二步编辑器面板如何决定显示预览在 src/components/editor-content/editorContentState.ts 中deriveVisibilityState()基于当前激活标签计算视图状态isHtmlPreview !!activeTab isHtmlFileEntry(activeTab.entry)同时effectiveRawMode rawMode || isNonMarkdownTextshowEditor !effectiveRawMode——即一旦切到源码模式预览区让位给编辑器。渲染层在 EditorContentLayout.tsx 的EditorCanvas中消费该状态当isHtmlPreview且存在activeTab时直接渲染HtmlFilePreview组件并把content、path、title、vaultPath传给它HTML 预览与电子表格sheet一样使用editor-content-width--wide宽布局见同文件 L556-L559。第三步HtmlFilePreview 组件与 iframe 沙箱src/components/HtmlFilePreview.tsx 是预览 UI 本体核心要点用useMemo调用htmlFilePreviewSrcDoc()生成srcDoc依赖content、path、vaultPath变化重建iframe 的sandboxallow-popups allow-popups-to-escape-sandbox刻意不授予allow-scripts与allow-same-origin——这是不透明源的关键。没有allow-same-originiframe 内容与父文档永远处于不同源即使内容被攻破也无法读取父文档 DOM、本地存储或 IPC 桥allow-popups则允许链接在新上下文打开同时设置referrerPolicyno-referrer、tabIndex{-1}并提供data-testidhtml-file-preview供测试定位组件挂载时上报html_file_preview_opened事件telemetry并在window blur时把焦点从 iframe 释放回隐藏按钮避免键盘焦点困在沙箱内。内容净化与 CSPhtmlFilePreviewSrcDoc 的三段式管线预览的核心算法集中在 src/utils/htmlFilePreview.ts 的htmlFilePreviewSrcDoc()它对原始 HTML 依次执行净化 → 资源策略 → 注入元信息sanitize (DOMPurify) → parse (DOMParser) → applyPreviewResourcePolicy → installPreviewMetadata → srcdoc第一段DOMPurify 净化配置SANITIZE_CONFIG 是净化规则的精确表达ADD_TAGS: [link]保留link否则样式表无法加载FORBID_TAGS禁止base、embed、form、frame、iframe、input、meta、object、script、select、textarea——脚本、事件处理器、表单、嵌套 frame、内嵌对象等活动内容在此被整体移除USE_PROFILES: { html: true, svg: true, svgFilters: true }允许 HTML 与 SVG 呈现WHOLE_DOCUMENT: true按完整文档处理保留文档骨架。第二段注入限制性 CSPPREVIEW_CSP 在净化后的文档head最前面注入installPreviewMetadata还顺带前置了utf-8charset metadefault-src none; script-src none; connect-src none; worker-src none; frame-src none; object-src none; form-action none; base-uri none; img-src asset: http://asset.localhost data: blob:; media-src asset: http://asset.localhost data: blob:; font-src asset: http://asset.localhost data:; style-src unsafe-inline asset: http://asset.localhost逐项含义default-src none 各专项none脚本、网络连接、worker、嵌套 frame、object、表单提交、base URL 修改全部禁用被动媒体只放行 Tauri asset 协议asset:与http://asset.localhost以及data:/blob:内联数据style-src unsafe-inline是为保留内联样式所必需的折衷——这也是 tauri.conf.json 中dangerousDisableAssetCspModification: [style-src]存在的原因即允许预览注入的 style-src 规则不被 Tauri 的资产 CSP 篡改远程被动加载https:等未列入任何-src因此会被 CSP 直接拦截同时资源重写阶段也会主动剔除它们。第三段CSP 与 sandbox 的双层隔离净化移除活动元素CSP 禁止活动能力sandbox缺省allow-scripts/allow-same-origin则保证不透明源。即使某条绕过净化的脚本被注入它也无法在同源上下文中执行、无法访问父文档——三层措施互为兜底。这正是 ADR 中预览内容不能访问 Tolaria 的文档、存储或 Tauri IPC这一结论的落地方式。资源重写策略本地资源如何被解析、校验与转换净化只解决代码执行而样式、图片、字体等被动资源仍需正常显示。applyPreviewResourcePolicyhtmlFilePreview.ts对文档内所有元素、style文本与link做统一重写核心逻辑在localAssetUrl()L117-L131白名单分流data:/blob:直接保留匹配REMOTE_OR_PRIVILEGED_URL^(?:[a-z][a-z.-]*:|\/\/)即任意协议或//开头的远程/特权 URL 一律返回null并移除相对路径解析借助resolvedVaultResourcePath()L107-L115把引用解析为绝对路径——以/开头时基于 vault 根否则基于 HTML 文件所在目录parentDirectory路径折叠与边界校验collapsePathSegments()L63-L81处理./..段与盘符最终用isPathInsideVaultRoot()校验——该函数位于 src/utils/vaultPathContainment.ts比较时归一化分隔符、展开~根并兼容 Windows 盘符大小写只有规范化后仍在活跃 vault 内的路径才被接受协议转换通过 Tauri 的convertFileSrc()来自tauri-apps/api/core见 HtmlFilePreview.tsx将绝对磁盘路径转换为 scoped asset URL并保留?query/#fragment后缀safeResourceSuffix会编码空白与特殊字符。这一策略在多个维度上执行元素级遍历poster、src、xlink:href三类 URL 属性、srcset候选列表含像素密度描述符以及内联style中的资源文本级用CSS_URLurl(...)与CSS_STRING_IMPORTimport ...正则重写style内的引用失败的引用降级为data:,空数据链接级rewriteStylesheetLink()只保留rel含stylesheet的linkrewriteAnchor()把站内链接转换为 asset URL站外/远程链接移除href并统一加上target_blank、relnoreferrer noopener——与 ADR 中链接以 noopener/noreferrer 在新外部上下文打开的表述一一对应。预览与源码编辑的切换复用 raw-mode 与既有保存语义ADR 明确要求作者需要一条不丢失预览的直接返回源文件路径。Tolaria 的答案是复用既有 raw-mode 控件面包屑栏的源码按钮或Cmd/Ctrl\快捷键将 HTML 文件切入既有的 CodeMirror 原始编辑器EditorContentLayout.tsx 的RawModeEditorSection由effectiveRawMode驱动源码模式下普通保存行为照常生效onSave再次切换则基于当前标签页内容重建预览——HtmlFilePreview的useMemo以content为依赖保存后的最新文本会立即反映到新生成的srcDoc值得注意的是BreadcrumbBar.tsx 中 HTML 条目会隐藏收藏、整理、邻域浏览、笔记宽度、目录等与 Markdown 编辑相关的动作避免把不适用于 HTML 的能力暴露给用户。从测试证据看editorContentState.test.ts 断言打开 HTML 条目时isHtmlPreview为trueEditorContentLayout.test.tsx 同样覆盖了该状态。这为HTML 文件进入预览面的行为提供了自动化保障。与相关 ADR 的衔接vault 资产作用域HTML 预览的资源治理并非孤岛。它复用了与 Tauri asset 协议一致的作用域思路tauri.conf.json 启用了assetProtocolenable: true而dangerousDisableAssetCspModification: [style-src]允许预览页自定义 style 策略早期的 ADR-0098In-app image and PDF file previews 与 ADR-0099Cumulative vault asset scope 奠定了资产加载必须限定在 vault 范围内的既有原则ADR-0168 的isPathInsideVaultRoot校验正是对该原则在 HTML 场景下的延续——HTML 报告引用的样式、图片、字体、媒体只有在仍位于活跃 vault 内时才工作外部资源一律不加载。效果与边界能做什么不能做什么结合 ADR 的 Consequences 与实现可以明确该方案的能力边界能做的HTML 报告可在 Tolaria 内直接阅读与编辑无需离开应用本地样式、图片、字体与媒体在位于活跃 vault 内时正常渲染通过 asset URL 加载站内链接可点击并在外部新上下文打开编辑后可一键切回预览。明确不做的脚本与表单驱动的交互式原型不会在预览模式执行需要交互时用户仍可通过既有的在默认应用中打开命令open in default app在系统浏览器中查看远程被动资源被移除且 CSP 从网络层禁止一切外部连接该功能完全由 renderer 承担不新增 native 命令、不改变文件种类判定降低了 Tauri 侧的攻击面与维护成本。参考路径速查决策文档docs/adr/0168-sandboxed-standalone-html-file-previews.md预览核心算法净化、CSP、资源重写src/utils/htmlFilePreview.ts预览 UI 组件iframe 沙箱属性src/components/HtmlFilePreview.tsx视图状态推导isHtmlPreview/effectiveRawModesrc/components/editor-content/editorContentState.ts编辑区布局与 raw-mode 切换src/components/editor-content/EditorContentLayout.tsxHTML 条目判定与预览源切换判定src/utils/filePreview.tsvault 路径边界校验src/utils/vaultPathContainment.ts相关测试editorContentState.test.ts、EditorContentLayout.test.tsx【免费下载链接】tolariaDesktop app to manage markdown knowledge bases项目地址: https://gitcode.com/GitHub_Trending/to/tolaria创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考