@iyulab/chat-components 0.13.0 → 0.14.1

package/dist/components/prompt/UPrompt.js

@@ -1,3 +1,4 @@
+import "../../utilities/icons.js";
 import __decorateMetadata from "../../_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorateMetadata.js";
 import __decorate from "../../_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorate.js";
 import { messages } from "../../utilities/messages.js";
@@ -9,6 +10,7 @@ import "@iyulab/components/dist/components/icon/UIcon.js";
 import { UElement } from "@iyulab/components/dist/components/UElement.js";
 import "@iyulab/components/dist/components/button/UButton.js";
 import { repeat } from "lit/directives/repeat.js";
+import { isImeComposing } from "@iyulab/components/dist/utilities/keyboard.js";
 //#region src/components/prompt/UPrompt.ts
 var UPrompt = class UPrompt extends UElement {
 	constructor(..._args) {
@@ -115,7 +117,7 @@ var UPrompt = class UPrompt extends UElement {
 		this.value = target.value;
 	}
 	handleTextBlockKeydown(e) {
-		if (e.key === "Enter" && !e.shiftKey) {
+		if (e.key === "Enter" && !e.shiftKey && !isImeComposing(e)) {
 			e.preventDefault();
 			this.submit();
 		}

package/dist/components/references/URefCard.js

@@ -1,5 +1,7 @@
+import "../../utilities/icons.js";
 import __decorateMetadata from "../../_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorateMetadata.js";
 import __decorate from "../../_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorate.js";
+import { sanitizeHref } from "../../utilities/sanitizers.js";
 import { UDataElement } from "../UDataElement.js";
 import { styles } from "./URefCard.styles.js";
 import { html, nothing } from "lit";
@@ -36,7 +38,7 @@ var URefCard = class URefCard extends UDataElement {
 	}
 	render() {
 		return html`
-      <a href="${ifDefined(this.url)}" target="_blank" rel="noopener noreferrer"
+      <a href="${ifDefined(this.url ? sanitizeHref(this.url) : void 0)}" target="_blank" rel="noopener noreferrer"
         @click=${this.handleAnchorClick}>
         <div class="header">
           ${this.renderFavicon()}

package/dist/components/references/URefTag.js

@@ -1,5 +1,7 @@
+import "../../utilities/icons.js";
 import __decorateMetadata from "../../_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorateMetadata.js";
 import __decorate from "../../_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorate.js";
+import { sanitizeHref } from "../../utilities/sanitizers.js";
 import { styles } from "./URefTag.styles.js";
 import { html } from "lit";
 import { customElement, property } from "lit/decorators.js";
@@ -14,7 +16,7 @@ var URefTag = class URefTag extends UElement {
 	}
 	render() {
 		return html`
-      <a href="${ifDefined(this.href)}" target="_blank" rel="noopener noreferrer"
+      <a href="${ifDefined(this.href ? sanitizeHref(this.href) : void 0)}" target="_blank" rel="noopener noreferrer"
         @click=${this.handleAnchorClick}>
         <slot></slot>
       </a>

package/dist/components-extra/UChartBlock.js

@@ -1,7 +1,10 @@
+import "../utilities/icons.js";
 import __decorateMetadata from "../_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorateMetadata.js";
 import __decorate from "../_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorate.js";
+import { registerElementBlock } from "../utilities/ElementRegistry.js";
 import { messages } from "../utilities/messages.js";
 import { styles } from "./UChartBlock.styles.js";
+import schema from "./UChartBlock.schema.js";
 import { html, nothing } from "lit";
 import { customElement, property, query, state } from "lit/decorators.js";
 import "@iyulab/components/dist/components/icon/UIcon.js";
@@ -9,6 +12,7 @@ import { UElement } from "@iyulab/components/dist/components/UElement.js";
 import "@iyulab/components/dist/components/button/UButton.js";
 import { Chart } from "chart.js/auto";
 //#region src/components-extra/UChartBlock.ts
+registerElementBlock(schema);
 var UChartBlock = class UChartBlock extends UElement {
 	constructor(..._args) {
 		super(..._args);

package/dist/components-extra/UImagesBlock.d.ts

@@ -19,6 +19,9 @@ export declare class UImagesBlock extends UElement {
     /** 열린 라이트박스는 층이다 — Escape 는 components 의 층 스택이 «가장 나중에 연 층 하나» 에만 준다. */
     protected updated(changed: PropertyValues): void;
     render(): typeof nothing | import('lit-html').TemplateResult<1>;
+    /** 출처 정책(`setAllowedImagePrefixes`)이 막은 이미지 자리의 문구. */
+    private blockedLabel;
+    private renderLightboxImage;
     private renderLightbox;
     open: (i: number) => void;
     close: () => void;

package/dist/components-extra/UImagesBlock.js

@@ -1,7 +1,10 @@
 import __decorateMetadata from "../_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorateMetadata.js";
 import __decorate from "../_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorate.js";
+import { registerElementBlock } from "../utilities/ElementRegistry.js";
 import { messages } from "../utilities/messages.js";
+import { resolveImageSource } from "../utilities/imageSources.js";
 import { styles } from "./UImagesBlock.styles.js";
+import schema from "./UImagesBlock.schema.js";
 import { html, nothing } from "lit";
 import { customElement, property, state } from "lit/decorators.js";
 import "@iyulab/components/dist/components/icon/UIcon.js";
@@ -10,6 +13,7 @@ import { OverlayManager } from "@iyulab/components/dist/utilities/OverlayManager
 import { repeat } from "lit/directives/repeat.js";
 import "@iyulab/components/dist/components/carousel/UCarousel.js";
 //#region src/components-extra/UImagesBlock.ts
+registerElementBlock(schema);
 var UImagesBlock = class UImagesBlock extends UElement {
 	constructor(..._args) {
 		super(..._args);
@@ -72,14 +76,17 @@ var UImagesBlock = class UImagesBlock extends UElement {
         .slidesPerView=${Math.min(count, 3)}
         .gap=${8}
       >
-        ${repeat(this.items, (item, i) => html`
+        ${repeat(this.items, (item, i) => resolveImageSource(item.src) === null ? html`
+          <!-- 출처 정책이 막은 이미지는 요청하지 않는다 — 열 것이 없으므로 버튼도 아니다. -->
+          <div class="slide blocked">${this.blockedLabel(item)}</div>
+        ` : html`
           <!-- 썸네일은 라이트박스를 여는 버튼이다 — 클릭만 받는 div 는 키보드로 열 수 없었다.
                대체 텍스트가 있으면 그것이 이름이고, 없으면 «이미지 N 열기» 로 이름을 준다. -->
           <button type="button" class="slide"
             aria-label=${item.alt ? nothing : messages.text("openImage", { index: i + 1 })}
             @click=${() => this.open(i)}>
             <img
-              src=${item.src}
+              src=${resolveImageSource(item.src)}
               alt=${item.alt || ""}
               loading="lazy"
             />
@@ -94,6 +101,14 @@ var UImagesBlock = class UImagesBlock extends UElement {
       ${this.renderLightbox()}
     `;
 	}
+	/** 출처 정책(`setAllowedImagePrefixes`)이 막은 이미지 자리의 문구. */
+	blockedLabel(item) {
+		return item.alt ? messages.text("imageBlockedNamed", { name: item.alt }) : messages.text("imageBlocked");
+	}
+	renderLightboxImage(img) {
+		const src = resolveImageSource(img.src);
+		return src === null ? html`<div class="lb-blocked">${this.blockedLabel(img)}</div>` : html`<img src=${src} alt=${img.alt || ""} />`;
+	}
 	renderLightbox() {
 		const idx = this.index;
 		if (idx === null) return nothing;
@@ -121,7 +136,7 @@ var UImagesBlock = class UImagesBlock extends UElement {
             <div class="lb-track" style="transform:translateX(${translateX})">
               ${repeat(this.items, (img, i) => html`
                 <div class="lb-slide" ?active=${i === idx}>
-                  <img src=${img.src} alt=${img.alt || ""} />
+                  ${this.renderLightboxImage(img)}
                 </div>
               `)}
             </div>

package/dist/components-extra/UImagesBlock.styles.js

@@ -40,6 +40,19 @@ var styles = css`
     filter: brightness(0.92);
   }
 
+  /* 출처 정책이 막은 이미지 — 요청 없이 대체 텍스트만. */
+  .slide.blocked {
+    display: grid;
+    place-items: center;
+    padding: 8px;
+    box-sizing: border-box;
+    border: 1px dashed var(--u-border-color, #E0E0E0);
+    color: var(--u-txt-color-weak, #616161);
+    font-size: 0.8em;
+    text-align: center;
+    cursor: default;
+  }
+
   .caption {
     position: absolute;
     bottom: 0;
@@ -160,6 +173,12 @@ var styles = css`
     user-select: none;
     pointer-events: none;
   }
+  .lb-blocked {
+    padding: 16px 24px;
+    border: 1px dashed rgba(255, 255, 255, 0.5);
+    border-radius: 6px;
+    color: white;
+  }
 
   .lb-nav {
     position: absolute;

package/dist/components-extra/UMapBlock.js

@@ -1,10 +1,13 @@
 import __decorateMetadata from "../_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorateMetadata.js";
 import __decorate from "../_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorate.js";
+import { registerElementBlock } from "../utilities/ElementRegistry.js";
 import { styles } from "./UMapBlock.styles.js";
+import schema from "./UMapBlock.schema.js";
 import { html, nothing } from "lit";
 import { customElement, property } from "lit/decorators.js";
 import { UElement } from "@iyulab/components/dist/components/UElement.js";
 //#region src/components-extra/UMapBlock.ts
+registerElementBlock(schema);
 var UMapBlock = class UMapBlock extends UElement {
 	constructor(..._args) {
 		super(..._args);

package/dist/components-extra/UVideoBlock.js

@@ -1,11 +1,14 @@
 import __decorateMetadata from "../_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorateMetadata.js";
 import __decorate from "../_virtual/_@oxc-project_runtime@0.151.0/helpers/esm/decorate.js";
+import { registerElementBlock } from "../utilities/ElementRegistry.js";
 import { styles } from "./UVideoBlock.styles.js";
+import schema from "./UVideoBlock.schema.js";
 import { html, nothing } from "lit";
 import { customElement, property } from "lit/decorators.js";
 import { UElement } from "@iyulab/components/dist/components/UElement.js";
 import { ifDefined } from "lit/directives/if-defined.js";
 //#region src/components-extra/UVideoBlock.ts
+registerElementBlock(schema);
 var UVideoBlock = class UVideoBlock extends UElement {
 	constructor(..._args) {
 		super(..._args);

package/dist/extra.d.ts

@@ -2,5 +2,11 @@ export * from './components-extra/UChartBlock.js';
 export * from './components-extra/UImagesBlock.js';
 export * from './components-extra/UMapBlock.js';
 export * from './components-extra/UVideoBlock.js';
-/** 내장 extra 블록(chart/images/map/video)이 모두 등록된 LLM 시스템 프롬프트 조각 */
+/**
+ * 내장 extra 블록(chart/images/map/video)이 모두 등록된 LLM 시스템 프롬프트 조각.
+ *
+ * 공유 인스턴스(`ElementPromptBuilder.instance`)에 등록한다 — 문서가 약속하듯 소비자가 거기에
+ * 자기 extra 를 더한 뒤 `build()` 를 다시 부르면 내장 넷과 함께 나온다. 종전에는 별도 인스턴스에
+ * 등록해 그 `build()` 가 소비자 것만 돌려줬다.
+ */
 export declare const prompt: string;

package/dist/extra.js

@@ -1,14 +1,20 @@
 import { ElementPromptBuilder } from "./utilities/PromptBuilder.js";
-import { UChartBlock } from "./components-extra/UChartBlock.js";
-import { UImagesBlock } from "./components-extra/UImagesBlock.js";
-import { UMapBlock } from "./components-extra/UMapBlock.js";
-import { UVideoBlock } from "./components-extra/UVideoBlock.js";
 import schema from "./components-extra/UChartBlock.schema.js";
+import { UChartBlock } from "./components-extra/UChartBlock.js";
 import schema$1 from "./components-extra/UImagesBlock.schema.js";
+import { UImagesBlock } from "./components-extra/UImagesBlock.js";
 import schema$2 from "./components-extra/UMapBlock.schema.js";
+import { UMapBlock } from "./components-extra/UMapBlock.js";
 import schema$3 from "./components-extra/UVideoBlock.schema.js";
+import { UVideoBlock } from "./components-extra/UVideoBlock.js";
 //#region src/extra.ts
-/** 내장 extra 블록(chart/images/map/video)이 모두 등록된 LLM 시스템 프롬프트 조각 */
-var prompt = new ElementPromptBuilder().add(schema$1).add(schema$3).add(schema$2).add(schema).build();
+/**
+* 내장 extra 블록(chart/images/map/video)이 모두 등록된 LLM 시스템 프롬프트 조각.
+*
+* 공유 인스턴스(`ElementPromptBuilder.instance`)에 등록한다 — 문서가 약속하듯 소비자가 거기에
+* 자기 extra 를 더한 뒤 `build()` 를 다시 부르면 내장 넷과 함께 나온다. 종전에는 별도 인스턴스에
+* 등록해 그 `build()` 가 소비자 것만 돌려줬다.
+*/
+var prompt = ElementPromptBuilder.instance.add(schema$1).add(schema$3).add(schema$2).add(schema).build();
 //#endregion
 export { UChartBlock, UImagesBlock, UMapBlock, UVideoBlock, prompt };

package/dist/index.d.ts

@@ -17,4 +17,6 @@ export type * from './events/SendEvent';
 export type * from './events/StopEvent';
 export * from './utilities/HtmlBuilder.js';
 export * from './utilities/PromptBuilder.js';
+export * from './utilities/ElementRegistry.js';
 export * from './utilities/sanitizers.js';
+export * from './utilities/imageSources.js';

package/dist/index.js

@@ -1,16 +1,19 @@
+import "./utilities/icons.js";
 import { UCodeBlock } from "./components/blocks/UCodeBlock.js";
-import { escapeHtmlAttr, escapeHtmlHref, escapeHtmlText, stripZeroWidth } from "./utilities/sanitizers.js";
+import { escapeHtmlAttr, escapeHtmlHref, escapeHtmlText, sanitizeHref, stripZeroWidth } from "./utilities/sanitizers.js";
 import { HtmlBuilder } from "./utilities/HtmlBuilder.js";
+import { getElementBlockProperties, registerElementBlock } from "./utilities/ElementRegistry.js";
 import { UElementBlock } from "./components/blocks/UElementBlock.js";
 import { UFileBlock } from "./components/blocks/UFileBlock.js";
 import { URefTag } from "./components/references/URefTag.js";
 import { URefCard, googleFaviconUrl } from "./components/references/URefCard.js";
 import { URefCardGroup } from "./components/references/URefCardGroup.js";
 import { UTableBlock } from "./components/blocks/UTableBlock.js";
+import { getAllowedImagePrefixes, resolveImageSource, setAllowedImagePrefixes } from "./utilities/imageSources.js";
 import { UMarkedBlock } from "./components/blocks/UMarkedBlock.js";
 import { UTextBlock } from "./components/blocks/UTextBlock.js";
 import { URefBlock } from "./components/blocks/URefBlock.js";
 import { UMessage } from "./components/message/UMessage.js";
 import { UPrompt } from "./components/prompt/UPrompt.js";
 import { ElementPromptBuilder } from "./utilities/PromptBuilder.js";
-export { ElementPromptBuilder, HtmlBuilder, UCodeBlock, UElementBlock, UFileBlock, UMarkedBlock, UMessage, UPrompt, URefBlock, URefCard, URefCardGroup, URefTag, UTableBlock, UTextBlock, escapeHtmlAttr, escapeHtmlHref, escapeHtmlText, googleFaviconUrl, stripZeroWidth };
+export { ElementPromptBuilder, HtmlBuilder, UCodeBlock, UElementBlock, UFileBlock, UMarkedBlock, UMessage, UPrompt, URefBlock, URefCard, URefCardGroup, URefTag, UTableBlock, UTextBlock, escapeHtmlAttr, escapeHtmlHref, escapeHtmlText, getAllowedImagePrefixes, getElementBlockProperties, googleFaviconUrl, registerElementBlock, resolveImageSource, sanitizeHref, setAllowedImagePrefixes, stripZeroWidth };

package/dist/utilities/ElementRegistry.d.ts

@@ -0,0 +1,13 @@
+import { ElementSchema } from '../types/Schema.js';
+/**
+ * 블록을 `block-json` 으로 렌더할 수 있게 등록합니다.
+ *
+ * 내장 블록(chart/images/map/video)은 모듈을 import 하면 스스로 등록되고,
+ * `ElementPromptBuilder.add()` 로 추가한 스키마도 함께 등록됩니다.
+ * 같은 태그를 다시 등록하면 속성 목록을 새 스키마로 바꿉니다.
+ */
+export declare function registerElementBlock(schema: Pick<ElementSchema, 'tag' | 'properties'>): void;
+/**
+ * 등록된 블록이면 대입을 허용하는 속성 이름 집합을, 아니면 `undefined` 를 돌려줍니다.
+ */
+export declare function getElementBlockProperties(tag: string): ReadonlySet<string> | undefined;

package/dist/utilities/ElementRegistry.js

@@ -0,0 +1,33 @@
+//#region src/utilities/ElementRegistry.ts
+/**
+* `block-json` 코드펜스로 만들 수 있는 블록의 허용 목록.
+*
+* `block-json` 은 LLM 출력이다 — 프롬프트 인젝션(검색 문서·첨부·도구 결과)으로 제3자가 쓸 수
+* 있는 입력이라, «등록된 커스텀 엘리먼트면 무엇이든 만든다 + 위험한 속성 이름만 막는다» 는
+* 경계가 되지 못한다. 페이지에는 신뢰된 HTML 을 받는 속성을 가진 엘리먼트가 있고, 거부 목록은
+* 그 이름을 모른다.
+*
+* ⇒ **LLM 에게 알린 스키마가 곧 허용 목록이다.** 태그는 스키마로 등록된 것만, 속성은 그
+* 스키마의 `properties` 에 적힌 이름만 대입한다. 스키마는 이미 LLM 과의 계약이므로 두 번째
+* 목록을 따로 유지할 필요가 없다.
+*/
+var blocks = /* @__PURE__ */ new Map();
+/**
+* 블록을 `block-json` 으로 렌더할 수 있게 등록합니다.
+*
+* 내장 블록(chart/images/map/video)은 모듈을 import 하면 스스로 등록되고,
+* `ElementPromptBuilder.add()` 로 추가한 스키마도 함께 등록됩니다.
+* 같은 태그를 다시 등록하면 속성 목록을 새 스키마로 바꿉니다.
+*/
+function registerElementBlock(schema) {
+	const tag = schema.tag.trim().toLowerCase();
+	blocks.set(tag, new Set(Object.keys(schema.properties ?? {})));
+}
+/**
+* 등록된 블록이면 대입을 허용하는 속성 이름 집합을, 아니면 `undefined` 를 돌려줍니다.
+*/
+function getElementBlockProperties(tag) {
+	return blocks.get(tag.trim().toLowerCase());
+}
+//#endregion
+export { getElementBlockProperties, registerElementBlock };

package/dist/utilities/HtmlPlaceholder.d.ts

@@ -11,6 +11,14 @@
  * 종전처럼 한쪽만 바뀌어 어긋난다.
  */
 export declare function stripRefPlaceholders(value: string): string;
+/**
+ * 문자열에서 ref 플레이스홀더 센티널을 떼어 낸다 — `[센티널 없는 문자열, 떼어 낸 센티널들]`.
+ *
+ * 링크 주소·이미지 속성·인라인 코드처럼 **태그가 들어갈 수 없는 자리**에 인용이 떨어졌을 때 쓴다.
+ * 그 자리에 남기면 `restore()` 가 속성 값이나 `<code>` 안에 HTML 을 넣는다(링크가 깨지고 코드에
+ * 인용 태그가 섞인다). 지우면 인용을 잃으므로, 호출부가 떼어 낸 것을 그 구문 **바로 뒤**에 둔다.
+ */
+export declare function extractRefPlaceholders(value: string): [string, string];
 export declare class HtmlPlaceholder {
     private map;
     private idx;

package/dist/utilities/HtmlPlaceholder.js

@@ -50,6 +50,18 @@ var sentinelPattern = () => /\u{E000}\d+\u{E001}/gu;
 function stripRefPlaceholders(value) {
 	return value.replace(sentinelPattern(), "");
 }
+/**
+* 문자열에서 ref 플레이스홀더 센티널을 떼어 낸다 — `[센티널 없는 문자열, 떼어 낸 센티널들]`.
+*
+* 링크 주소·이미지 속성·인라인 코드처럼 **태그가 들어갈 수 없는 자리**에 인용이 떨어졌을 때 쓴다.
+* 그 자리에 남기면 `restore()` 가 속성 값이나 `<code>` 안에 HTML 을 넣는다(링크가 깨지고 코드에
+* 인용 태그가 섞인다). 지우면 인용을 잃으므로, 호출부가 떼어 낸 것을 그 구문 **바로 뒤**에 둔다.
+*/
+function extractRefPlaceholders(value) {
+	const keys = value.match(sentinelPattern());
+	if (!keys) return [value, ""];
+	return [value.replace(sentinelPattern(), ""), keys.join("")];
+}
 var HtmlPlaceholder = class {
 	constructor() {
 		this.map = {};
@@ -78,4 +90,4 @@ var HtmlPlaceholder = class {
 	}
 };
 //#endregion
-export { HtmlPlaceholder, stripRefPlaceholders };
+export { HtmlPlaceholder, extractRefPlaceholders, stripRefPlaceholders };

package/dist/utilities/PromptBuilder.d.ts

@@ -11,6 +11,9 @@ export declare class ElementPromptBuilder {
     static get instance(): ElementPromptBuilder;
     /**
      * Element 정의를 등록합니다. 같은 태그가 이미 등록되어 있으면 에러를 던집니다.
+     *
+     * LLM 에게 알리는 스키마가 곧 `u-element-block` 의 허용 목록이므로, 여기서 추가한 블록은
+     * `block-json` 으로도 렌더할 수 있게 함께 등록됩니다(`registerElementBlock`).
      * @throws {Error} 같은 태그가 이미 등록된 경우
      */
     add(schema: ElementSchema): ElementPromptBuilder;

package/dist/utilities/PromptBuilder.js

@@ -1,3 +1,4 @@
+import { registerElementBlock } from "./ElementRegistry.js";
 import element_prompt_md_default from "../_virtual/_glob-assets_raw/element-prompt.md.7047ffcc.js";
 //#region src/utilities/PromptBuilder.ts
 /**
@@ -16,11 +17,15 @@ var ElementPromptBuilder = class ElementPromptBuilder {
 	}
 	/**
 	* Element 정의를 등록합니다. 같은 태그가 이미 등록되어 있으면 에러를 던집니다.
+	*
+	* LLM 에게 알리는 스키마가 곧 `u-element-block` 의 허용 목록이므로, 여기서 추가한 블록은
+	* `block-json` 으로도 렌더할 수 있게 함께 등록됩니다(`registerElementBlock`).
 	* @throws {Error} 같은 태그가 이미 등록된 경우
 	*/
 	add(schema) {
 		if (this.elements.has(schema.tag)) throw new Error(`Element with tag "${schema.tag}" is already registered.`);
 		this.elements.set(schema.tag, schema);
+		registerElementBlock(schema);
 		return this;
 	}
 	/**

package/dist/utilities/icons.js

@@ -0,0 +1,52 @@
+import alert_triangle_fill_svg_default from "../_virtual/_glob-assets_raw/alert-triangle-fill.svg.4cfc4305.js";
+import arrows_sort_svg_default from "../_virtual/_glob-assets_raw/arrows-sort.svg.dda43a85.js";
+import code_svg_default from "../_virtual/_glob-assets_raw/code.svg.c69bc144.js";
+import download_svg_default from "../_virtual/_glob-assets_raw/download.svg.bce82177.js";
+import external_link_svg_default from "../_virtual/_glob-assets_raw/external-link.svg.a9f7f02d.js";
+import file_code_svg_default from "../_virtual/_glob-assets_raw/file-code.svg.0e706f93.js";
+import file_music_svg_default from "../_virtual/_glob-assets_raw/file-music.svg.b9970203.js";
+import file_spreadsheet_svg_default from "../_virtual/_glob-assets_raw/file-spreadsheet.svg.8c03bdfa.js";
+import file_text_svg_default from "../_virtual/_glob-assets_raw/file-text.svg.85bdd923.js";
+import file_type_pdf_svg_default from "../_virtual/_glob-assets_raw/file-type-pdf.svg.bc12db6d.js";
+import file_zip_svg_default from "../_virtual/_glob-assets_raw/file-zip.svg.76dde660.js";
+import file_svg_default from "../_virtual/_glob-assets_raw/file.svg.28f5d6f1.js";
+import photo_svg_default from "../_virtual/_glob-assets_raw/photo.svg.cc273cc1.js";
+import player_stop_fill_svg_default from "../_virtual/_glob-assets_raw/player-stop-fill.svg.5378b752.js";
+import send_svg_default from "../_virtual/_glob-assets_raw/send.svg.02326253.js";
+import sort_ascending_letters_svg_default from "../_virtual/_glob-assets_raw/sort-ascending-letters.svg.14a3df67.js";
+import sort_descending_letters_svg_default from "../_virtual/_glob-assets_raw/sort-descending-letters.svg.3e03647c.js";
+import video_svg_default from "../_virtual/_glob-assets_raw/video.svg.c183f03c.js";
+import world_svg_default from "../_virtual/_glob-assets_raw/world.svg.cd9903c8.js";
+import { IconRegistry } from "@iyulab/components/dist/utilities/icons.js";
+//#region src/utilities/icons.ts
+/**
+* vite의 `import.meta.glob`을 사용하여 chat-components 전용 SVG 아이콘을 빌드 시점에 번들링합니다.
+* 네트워크 요청 없이 즉시 조회 가능하며, 런타임 동안 불변입니다.
+*/
+var InternalChatIconBundle = new Map(Object.entries(/* #__PURE__ */ Object.assign({
+	"../assets/icons/alert-triangle-fill.svg": alert_triangle_fill_svg_default,
+	"../assets/icons/arrows-sort.svg": arrows_sort_svg_default,
+	"../assets/icons/code.svg": code_svg_default,
+	"../assets/icons/download.svg": download_svg_default,
+	"../assets/icons/external-link.svg": external_link_svg_default,
+	"../assets/icons/file-code.svg": file_code_svg_default,
+	"../assets/icons/file-music.svg": file_music_svg_default,
+	"../assets/icons/file-spreadsheet.svg": file_spreadsheet_svg_default,
+	"../assets/icons/file-text.svg": file_text_svg_default,
+	"../assets/icons/file-type-pdf.svg": file_type_pdf_svg_default,
+	"../assets/icons/file-zip.svg": file_zip_svg_default,
+	"../assets/icons/file.svg": file_svg_default,
+	"../assets/icons/photo.svg": photo_svg_default,
+	"../assets/icons/player-stop-fill.svg": player_stop_fill_svg_default,
+	"../assets/icons/send.svg": send_svg_default,
+	"../assets/icons/sort-ascending-letters.svg": sort_ascending_letters_svg_default,
+	"../assets/icons/sort-descending-letters.svg": sort_descending_letters_svg_default,
+	"../assets/icons/video.svg": video_svg_default,
+	"../assets/icons/world.svg": world_svg_default
+})).map(([path, module]) => {
+	return [path.split("/").pop()?.replace(".svg", "") || "", module];
+}).filter(([name]) => name !== ""));
+IconRegistry.register("internal-chat", (name) => {
+	return InternalChatIconBundle.get(name);
+});
+//#endregion

package/dist/utilities/imageSources.d.ts

@@ -0,0 +1,25 @@
+/**
+ * 모델 출력의 이미지가 불러올 수 있는 URL 접두를 정합니다. 렌더하기 전에 한 번 부르세요 —
+ * 이미 그려진 블록은 다음 렌더 때 따릅니다.
+ *
+ * - `undefined`: 전부 허용(기본값).
+ * - `[]`: 전부 차단.
+ * - `['*']`: 전부 허용(명시).
+ * - `['https://cdn.example.com/images/']`: 이 접두로 시작하는 것만.
+ *
+ * 접두는 **해석된 절대 URL** 과 비교합니다 — 상대 경로는 `document.baseURI` 기준으로 풀린 뒤
+ * 비교되므로, 같은 출처 이미지를 허용하려면 `location.origin + '/'` 를 넣으세요.
+ * ⚠도메인 전체(`https://example.com/`)보다 경로(`https://example.com/images/`)를 주세요 —
+ * 허용한 도메인에 열린 리다이렉트가 있으면 그것을 거쳐 다른 곳으로 나갈 수 있습니다.
+ *
+ * @example
+ * setAllowedImagePrefixes([location.origin + '/', 'https://cdn.example.com/images/']);
+ */
+export declare function setAllowedImagePrefixes(prefixes?: readonly string[]): void;
+/** 현재 이미지 출처 정책을 돌려줍니다(`undefined` = 전부 허용). */
+export declare function getAllowedImagePrefixes(): readonly string[] | undefined;
+/**
+ * 모델이 쓴 이미지 URL 을 정책에 대어 봅니다. 불러와도 되면 프로토콜 검사를 거친 URL 을,
+ * 아니면 `null` 을 돌려줍니다(요청하지 말 것).
+ */
+export declare function resolveImageSource(src: string): string | null;

package/dist/utilities/imageSources.js

@@ -0,0 +1,61 @@
+import { sanitizeHref } from "./sanitizers.js";
+//#region src/utilities/imageSources.ts
+/**
+* 모델 출력이 불러오는 이미지의 출처 정책 — 페이지 전체에 하나다(CSP `img-src` 와 같은 범위).
+*
+* 마크다운 이미지(`u-marked-block`)와 `u-images-block` 은 모델이 쓴 URL 을 그대로 요청한다.
+* 프롬프트 인젝션된 응답은 이미지 URL 의 쿼리에 데이터를 실어 제3자에게 보낼 수 있다 —
+* 요청은 렌더되는 순간 일어나므로 사용자가 아무것도 누르지 않아도 된다.
+*
+* 기본값은 `undefined`(전부 허용 — 종전 동작)다. 목록을 주면 절대 URL 이 그 접두 중 하나로
+* 시작하는 이미지만 불러오고, 나머지는 요청 없이 «차단된 이미지» 로 그린다.
+* `data:image/…` 는 요청이 없으므로 정책과 무관하게 그린다.
+*/
+var allowedPrefixes;
+/** 요청 없이 그려지는 인라인 이미지 */
+var DATA_IMAGE_REGEX = /^data:image\/[a-z0-9.+-]+[;,]/i;
+/**
+* 모델 출력의 이미지가 불러올 수 있는 URL 접두를 정합니다. 렌더하기 전에 한 번 부르세요 —
+* 이미 그려진 블록은 다음 렌더 때 따릅니다.
+*
+* - `undefined`: 전부 허용(기본값).
+* - `[]`: 전부 차단.
+* - `['*']`: 전부 허용(명시).
+* - `['https://cdn.example.com/images/']`: 이 접두로 시작하는 것만.
+*
+* 접두는 **해석된 절대 URL** 과 비교합니다 — 상대 경로는 `document.baseURI` 기준으로 풀린 뒤
+* 비교되므로, 같은 출처 이미지를 허용하려면 `location.origin + '/'` 를 넣으세요.
+* ⚠도메인 전체(`https://example.com/`)보다 경로(`https://example.com/images/`)를 주세요 —
+* 허용한 도메인에 열린 리다이렉트가 있으면 그것을 거쳐 다른 곳으로 나갈 수 있습니다.
+*
+* @example
+* setAllowedImagePrefixes([location.origin + '/', 'https://cdn.example.com/images/']);
+*/
+function setAllowedImagePrefixes(prefixes) {
+	allowedPrefixes = prefixes ? [...prefixes] : void 0;
+}
+/** 현재 이미지 출처 정책을 돌려줍니다(`undefined` = 전부 허용). */
+function getAllowedImagePrefixes() {
+	return allowedPrefixes;
+}
+/**
+* 모델이 쓴 이미지 URL 을 정책에 대어 봅니다. 불러와도 되면 프로토콜 검사를 거친 URL 을,
+* 아니면 `null` 을 돌려줍니다(요청하지 말 것).
+*/
+function resolveImageSource(src) {
+	const trimmed = src.trim();
+	if (DATA_IMAGE_REGEX.test(trimmed)) return trimmed;
+	const safe = sanitizeHref(src);
+	if (safe === "#") return null;
+	if (!allowedPrefixes) return safe;
+	if (allowedPrefixes.includes("*")) return safe;
+	let absolute;
+	try {
+		absolute = new URL(safe, document.baseURI).href;
+	} catch {
+		return null;
+	}
+	return allowedPrefixes.some((prefix) => absolute.startsWith(prefix)) ? safe : null;
+}
+//#endregion
+export { getAllowedImagePrefixes, resolveImageSource, setAllowedImagePrefixes };

package/dist/utilities/messages.d.ts

@@ -5,5 +5,5 @@
  * 이 리포가 채택한 표준이 *"영어 기본 **+ 레지스트리**"* 이기 때문이다 — 영어 리터럴만으로는
  * 한국어 앱이 그 문구를 되돌릴 방법이 없다. 다음 문자열은 여기로 온다.
  */
-export type ChatMessageKey = 'canvasUnavailable' | 'previousReference' | 'nextReference' | 'closePreview' | 'closeLightbox' | 'previousImage' | 'nextImage' | 'sendMessage' | 'stopGenerating' | 'fullScreen' | 'remove' | 'pngDownload' | 'jsonDownload' | 'search' | 'rowCount' | 'excelDownload' | 'csvDownload' | 'openImage' | 'previewFile';
+export type ChatMessageKey = 'canvasUnavailable' | 'previousReference' | 'nextReference' | 'closePreview' | 'closeLightbox' | 'previousImage' | 'nextImage' | 'sendMessage' | 'stopGenerating' | 'fullScreen' | 'remove' | 'pngDownload' | 'jsonDownload' | 'search' | 'rowCount' | 'excelDownload' | 'csvDownload' | 'openImage' | 'previewFile' | 'imageBlocked' | 'imageBlockedNamed';
 export declare const messages: import('@iyulab/components/dist/utilities/Locale.js').LocaleNamespace<ChatMessageKey>;

package/dist/utilities/messages.js

@@ -20,7 +20,9 @@ messages.register("en", {
 	excelDownload: "Excel Download",
 	csvDownload: "CSV Download",
 	openImage: "Open image {index}",
-	previewFile: "Preview {name}"
+	previewFile: "Preview {name}",
+	imageBlocked: "Image blocked",
+	imageBlockedNamed: "Image blocked: {name}"
 });
 messages.register("ko", {
 	canvasUnavailable: "Canvas 2D context를 가져올 수 없습니다.",
@@ -41,7 +43,9 @@ messages.register("ko", {
 	excelDownload: "Excel 다운로드",
 	csvDownload: "CSV 다운로드",
 	openImage: "이미지 {index} 열기",
-	previewFile: "{name} 미리보기"
+	previewFile: "{name} 미리보기",
+	imageBlocked: "차단된 이미지",
+	imageBlockedNamed: "차단된 이미지: {name}"
 });
 //#endregion
 export { messages };

package/dist/utilities/sanitizers.d.ts

@@ -23,7 +23,16 @@ export declare function escapeHtmlText(value: string): string;
  */
 export declare function escapeHtmlAttr(value: string): string;
 /**
- * href / src attribute용 문자열 처리
+ * URL 의 프로토콜을 검사해 안전한 URL 문자열을 돌려줍니다 — HTML escape 는 하지 않습니다.
+ * Lit 의 속성 바인딩처럼 escape 를 스스로 하는 자리에서 씁니다(두 번 escape 하면 `&` 가 `&` 가 된다).
+ * 위험한 URL(javascript:/data:/vbscript:, protocol-relative)은 `#` 가 됩니다.
+ *
+ * 예:
+ *  html`<a href=${sanitizeHref(url)}>`
+ */
+export declare function sanitizeHref(value: string): string;
+/**
+ * href / src attribute용 문자열 처리 — HTML 문자열을 직접 조립하는 자리에서 씁니다.
  *
  * 예:
  *  <a href="{value}">