Проверка безопасности
Санитайзер контента (fail-closed)
Если сотрудник введёт в кабинете вредоносный тег, он показывается как ТЕКСТ и не выполняется. Сырой ввод ниже:
<img src=x onerror=alert(document.domain) alt=a'b>
Ссылка со схемой javascript: тоже обезврежена: кликни — href снят, остался текст.
Нормальная разметка живёт: жирный, курсив, внешняя ссылка, «1 000 ₽».