fix(security): 防止文本对比/Markdown/正则结果中的 DOM XSS

[cursor]

问题与影响

在「文本对比」「Markdown 预览」「正则测试」中，用户输入被直接拼进 innerHTML。攻击者可诱导受害者粘贴含 HTML/事件属性的载荷（例如 <img src=x onerror=alert(1)>），在同源页面上下文中执行脚本，造成会话劫持、钓鱼等。

根因

将未转义的用户字符串写入 innerHTML；Markdown 路径若仅转义捕获组，未匹配到 markdown 语法的裸 HTML 仍会原样进入 DOM。

修复

• 新增 escapeHtml()，在写入 innerHTML 前转义用户内容。
• textDiff()：对每行差异内容转义。
• renderMD()：先对整段输入 escapeHtml 再应用简易 markdown 替换。
• testRegex()：对匹配子串与异常信息转义。

验证

• 静态代码审查；仓库内无现成前端测试套件，未运行自动化测试。建议在浏览器中验证：在对比/Markdown/正则中粘贴 <script> 或 onerror 载荷应显示为文本而非执行。