# Security

## 插件做什么

- 在页面里注册**一个** `document` 上的 `keydown` 监听器（`ctx.effect`，卸载时移除）。
- 注入**一条** CSS 规则，用主题令牌画聚焦描边（卸载时移除）。
- 满足条件时调用一次 `element.focus()`。

## 插件不做什么

- 不发起任何网络请求（fetch / WebSocket / XHR 都没有）。
- 不读写任何文件，不接触 shell、进程、环境变量。
- 不读取或写入凭据、token、cookie、localStorage、sessionStorage。
- 不注册 host 侧服务、工具、HTTP 路由或 session 事件；`index.js` 的 `apply()` 是空实现。
- 不发送、也不代替用户确认审批：批准/拒绝仍由 DSH 官方审批处理器执行。
- 不插入、删除或改写页面上的任何节点与文案。

## 权限面

浏览器内执行，权限等于「这个页面里的一段 JS」。它能看到的只有它已经能拿到的 DOM。
最坏情况下的失败模式是「按键行为不对」，而不是数据外泄。

## 报告问题

发现安全问题请在仓库的 Issues 中说明复现步骤；涉及未被披露的利用方式时，请先私下联系维护者。