在MarkDown中包含SVG（托管在GitHub上

Question

我知道可以使用！[Alt text](/path/to/img.jpg)或！[Alt text](/path/to/img.jpg“optional title”）的MD语法将图像放置在MD中，但我很难将SVG放置在代码托管在GitHub上的MD中。

最终使用rails3，并且现在经常更改模型，所以我使用RailRoady生成模型的模式图的SVG。我希望将SVG放在readme.md中并显示出来。当我在本地打开SVG文件时，它确实起作用，那么我如何让浏览器呈现MD文件中的SVG呢？考虑到代码在完成之前是动态的（似乎永远不会），将SVG托管在一个单独的地方似乎有些过头了，而且我缺少一种实现这一点的方法。

我试图包含的SVG在GitHub上:https://github.com/specialorange/fdxcm/blob/master/rails/fdxcm/doc/models_brief.SVG

我尝试了以下操作，并使用了一个实际的图像来验证语法是否工作，只是SVG代码没有被呈现：

![Overview][1]
[1]: https://github.com/specialorange/FDXCM/blob/master/doc/controllers_brief.svg  "Overview"

<img src="https://raw.github.com/specialorange/FDXCM/master/doc/controllers_brief.svg">

![Alt text](https://raw.github.com/specialorange/FDXCM/master/doc/controllers_brief.svg)

[Google Doc](https://docs.google.com/drawings/d/1B95ajItJTAImL2WXISX0fkBLYk3nldea4Vm9eo-VyE4/edit) :

<img src="https://docs.google.com/drawings/pub?id=117XsJ1kDyaY-n8AdPS3_8jTgMyITqaoT3-ah_BSc9YQ&w=960&h=720">

<img src="https://raw.github.com/specialorange/FDXCM/master/doc/controllers_brief.svg">

<img src="https://docs.google.com/drawings/d/1B95ajItJTAImL2WXISX0fkBLYk3nldea4Vm9eo-VyE4/edit">

Answer 1

更新2020：他们如何在避免XSS攻击的同时使其工作

GitHub似乎使用了两种安全方法，这是一篇很好的文章:https://digi.ninja/blog/svg_xss.php参见：https://security.stackexchange.com/questions/148507/how-to-prevention-xss-in-Svg-file-upload

>

在 标记内显示SVG，这会阻止脚本运行，例如在readmes上:https://github.com/cirosantilli/test-git-web-interface/tree/8e394cdb012cba4bcf55ebdb89f36872b4c6c12a

使用content-security-policy:default-src'none'；style-src“unsafe-inline”；沙箱。这会阻止脚本在包含原始SVG文件的raw中运行：https://raw.githubusercontent.com/cirosantilli/test-git-web-interface/8e394cdb012cba4bcf55ebdb89f36872b4c6c12a/svg-foreignobject.SVG

您可以看到带有curl-vvv的头。常规的github.com页面也有content-security-policy，但它要大得多。

更新2017

一个GitHub开发人员目前正在研究这个问题:https://GitHub.com/GitHub/markup/issues/556#issuecomment-306103203

更新2014-12：GitHub现在在blob显示上呈现SVG，所以我看不出有什么理由不在自述文件呈现上呈现：

null

Petah提到Blob很好，因为SVG在iframe中。

GitHub不提供SVG映像的可能原因

SVG XSS脚本：虽然当SVG嵌入img时，大多数浏览器都不运行脚本，但标准似乎并不要求这样做，所以GitHub可能是在安全地使用它。

如果您直接打开SVG（但GitHub似乎从未直接在GitHub.com域上显示图像），或者如果它是内联的（GitHub目前完全删除了这些图像），浏览器会运行它，所以这些情况不应该是安全问题。相关链接：

• 规范:http://www.w3.org/tr/svg/script.html
• 交互式SVG演示:http://www.w3.org/tr/SVG/images/script/script01.SVG

以下问题询问SVG的一般风险：https://security.stackExchange.com/questions/11384/exploits-or-other-security-risks-with-Svg-upload