# 보안

- **다이어그램 텍스트.** Pele는 다이어그램 텍스트를 이스케이프하고, 링크와 스타일을 걸러 내며, 소스와 출력의 크기를 제한합니다. 직접 작성하지 않은 다이어그램을 렌더링하기 전에는 Pele의 [보안 페이지](https://pele.run/security)를 읽어 보시기 바랍니다. pele-animate는 Pele가 렌더링한 뒤의 SVG를 읽기 때문에 이 보호 장치를 약하게 만들지 않습니다.
- **핀.** `%% pa:` 주석은 단계 번호와 id로 이루어진 단순한 패턴으로 파싱되며, 코드를 실행할 수 없습니다.
- **글리프 마크업은 신뢰하는 입력입니다.** `registerGlyphs()`와 `registerTabler()`는 전달한 마크업을 SVG로 페이지에 삽입합니다. 직접 작성했거나 검토를 마친 마크업만 등록하시기 바랍니다. 함께 제공되는 Tabler 팩과 `doverunner-*` 팩은 패키지 안의 정적 파일입니다.
- **네트워크 요청 없음.** pele-animate는 요청을 보내지 않고 외부 리소스도 불러오지 않습니다.
- **eval 없음.** 패키지는 `eval`을 쓰거나 코드를 생성하지 않으므로, `unsafe-eval` 없는 콘텐츠 보안 정책에서도 동작합니다.

취약점은 [GitHub 저장소](https://github.com/dkdev24/pele-animate)에 비공개 연락 방법을 요청하는 이슈를 열어 제보해 주시기 바랍니다. 공개 이슈에는 상세 내용을 적지 않습니다.