セキュリティの修正は、最新の版にだけ提供します。

脆弱性を見つけた場合は、公開のissueを作らず、非公開で報告してください。

• GitHubの「Security Advisories」（Report a vulnerability）から報告してください。
• 使えない場合は、メンテナーに直接連絡してください。

報告には次を含めてください。

• 影響するコンポーネント・ファイル・版
• 再現の手順（最小の再現コードがあると助かります）
• 想定される影響（情報の漏えい、改ざん、サービスの妨害など）

• 受け取ったら、できるだけ早く最初の返信をします。
• 影響と深刻度を評価し、修正を出す見通しを共有します。
• 修正を公開した後に内容を公表します。報告者が望む場合は、報告者の名前を記載します。

Retrixは表示と操作だけを受け持ち、業務データ・権限・通信・永続化は利用するアプリが持ちます。本番で使う前に、次を確認してください。

• Hono JSXのコンポーネントとcontrollerは、生のHTMLを出力しません。利用側でraw()やdangerouslySetInnerHTMLを使って子要素を渡す場合は、利用側で無害化してください。
• CSSだけで使う場合は、利用者の入力をHTMLへ入れる前に利用側でエスケープしてください。
• controllerが発火するイベントのdetailは、画面上の操作の結果です。保存や権限の判定に使う値は、サーバー側で検証してください。
• Iconが参照するSVGスプライトは、利用するアプリと同じオリジンに置いてください。