Markdown может содержать HTML, ссылки и картинки. Приватное превью задаёт границы явно.
HTML становится видимым текстом
Теги экранируются и показываются кодом, поэтому скрипты и обработчики не вставляются.
Синтаксис картинки не делает запрос
Alt-текст остаётся видимым, а URL не попадает в элемент изображения.
Очистка остаётся финальной границей
Angular штатно очищает строку; API обхода безопасности не используется.