仅最新 main 分支（当前 v1.9.x）受安全更新支持。

• 翻译数据（记忆库/术语库/句段工作区/批注/修订历史）全部存放在用户浏览器的 IndexedDB，无服务器、无账号。
• 运行时零 npm 依赖；测试依赖（linkedom、fake-indexeddb、Playwright）不进入页面运行时。
• 联网行为仅限用户主动触发的"联网查阅"：向维基百科（zh/en/ja）、大都会艺术博物馆开放 API、Internet Archive 发送查询关键词，不发送句段、译文或记忆库内容。
• 备份文件包含全部项目数据，请视为敏感文件保管。恢复路径已做：结构校验、外来 ID 丢弃（防跨库覆盖）、派生字段重算、渲染层全量转义（防注入）。

• 深度链接（Google/术语在线等）会把关键词带到对应站点，由用户点击触发。
• IndexedDB 可被用户或浏览器清除策略删除——请使用备份功能。
• CSV 导出为原始数据交换格式，不含公式注入防护；请优先使用 XLSX 导出（单元格为显式文本类型）。

请在 GitHub Issues 中使用 security 标签报告，或通过仓库主页联系方式联系维护者。48 小时内确认。