@kubohiroya/turbowarp-extension-security-dialog 0.3.0 → 0.3.2

package/README.ja.md

@@ -7,7 +7,7 @@ TurboWarpの複数の機能拡張を、1つの一覧で確認するための共
 
 ## Pagesのカタログから機能拡張を選択する
 
-`ExtensionSelectionList` は既存のバナー・メタデータ・詳細表示を共有し、各行の右端へチェックボックスを1つ表示します。
+`ExtensionSelectionList` は既存のバナー・メタデータを共有し、各行の右端へチェックボックスを1つ表示します。
 TurboWarp Plus一覧の対応範囲は [#28](https://github.com/kubohiroya/turbowarp-extension-security-dialog/issues/28) に記録しています。
 ホスト側でGitHub PagesのJSONをHTTPS取得し、このコンポーネントへ渡します。
 
@@ -44,19 +44,31 @@ const list = <ExtensionSelectionList entries={entries} locale="ja"
 
 任意のカテゴリ定義がある場合、ダッシュボードと同じ順序でカテゴリ見出し（`h2`）を表示します。
 日本語は `titleJa` があれば使用し、なければ `title` にフォールバックします。
-検索で空になったカテゴリは非表示になりますが、選択状態と「詳細」の対象は維持します。
+検索で空になったカテゴリは非表示になりますが、選択状態は維持します。
 カテゴリのない旧JSONは従来の平坦な一覧です。カテゴリ付きと未指定の項目が混在する場合、未指定分は
 末尾の「その他の機能拡張」へ表示します。配色はホストのモーダル背景色・文字色に従います。
 強調色は `--twextsec-manual-accent` / `--twextsec-dependency-accent` /
 `--twextsec-unselected-accent` / `--twextsec-loaded-accent` で調整できます。
 
 一覧の表示・選択だけでは機能拡張のコードを読み込み・実行しません。
-JSONのメタデータを直ちに表示し、「詳細」を開いたときだけソースを文字列として取得します。
-取得に失敗してもカタログのメタデータと選択は利用できます。
+JSONのメタデータを直ちに表示し、選択一覧には「詳細」やJS配布URLを表示しません。
+選択状態と依存元の説明はアイコン画像の下へ表示します。名前の行は「Bubble v0.15.1 (ID: kubohiroyabubble) GitHub/npmアイコン」の順で、名前に続く項目は通常の太さ・名前より2pt小さい書体です。狭い幅では必要に応じて折り返します。
+ドキュメントの `docsURL`（確認済みGitHub Pages）を表示し、GitHubのOctocat・npmのアイコンから
+`repository` と `package` のページを開きます。URLがない項目にリンクを推測して付けることはしません。
+製作者は `author` を表示し、公開版package.jsonの `author.url` を収録した `authorURL` があれば名前をリンクにします。
+各行には「サンドボックスなし：必要／任意／不要／未確認」を表示し、必要な場合は警告アイコンを付けます。
 実行許可確認には `ExtensionSecurityDialog context="catalog"` を使用でき、キャンセル文言が選択一覧へ戻る案内になります。
 既定の `context="project"` はプロジェクト読み込み用の文言を維持します。
 ホストは確定された実行モードと独自のセキュリティ方針を尊重して読み込んでください。
 
+共通化した画像・サービスリンク・実行条件には `entry.metadata` と取得したソースのメタデータを使用します。
+どちらか一方でも `unsandboxed: required` なら必要条件を維持し、バッジ・選択可能なモード・非対応選択の解除・
+一括初期選択で同じ判断をします。セキュリティ確認のOKは、従来どおりソースのメタデータ取得の成功／失敗が確定するまで待ちます。
+セキュリティ確認はソースヘッダーのバージョン・明示された製作者リンクとドキュメントリンク・出所URLを使用します。
+URLがない製作者名は通常の文字で表示し、選択一覧はカタログのバージョンとリンクを使用します。
+`entry.category` があれば両画面で同じ順序・日英見出しにし、カテゴリのないプロジェクトでは取得や推測をせず平坦な一覧を維持します。
+
+
 JSON契約は `schemaVersion: 1` と `extensions` 配列です。各要素の必須項目は次のとおりです。
 
 | 項目 | 内容 |
@@ -68,7 +80,7 @@ JSON契約は `schemaVersion: 1` と `extensions` 配列です。各要素の必
 | `dependencies` | 同じJSONに含まれる依存先の機能拡張ID配列。npmパッケージ名ではない |
 
 `package`・`description`・`descriptions`（`ja`等の小文字言語タグをキーとする説明）・`author`・`license`・
-`banner`・`repository`・`unsandboxed`（例: `required`）は任意のメタデータです。
+`banner`・`repository`・`docsURL`・`authorURL`・`unsandboxed`（例: `required`）は任意のメタデータです。
 完全なJSON例は[英語版のAPI例](README.md#selecting-extensions-from-a-pages-catalog)を参照してください。
 生成側でパッケージ依存を拡張IDへ変換し、ビルド専用パッケージを除外します。
 
@@ -77,7 +89,7 @@ JSON契約は `schemaVersion: 1` と `extensions` 配列です。各要素の必
 `parseExtensionCatalog` の返り値は従来どおり配列で、カテゴリ参照は各要素の
 `category: {id, title, titleJa?, order}` へ解決します。`order` は定義の配列順です。
 
-`parseExtensionCatalog` は未対応schema、ID/URL重複、存在しない依存先、循環依存、HTTPS以外や認証情報付きのURLを拒否します。
+`parseExtensionCatalog` は未対応schema、ID/URL重複、存在しない依存先、循環依存、HTTPS以外や認証情報付きのURLを拒否します（製作者の `authorURL` だけはHTTPも許可します）。
 `resolveExtensionSelection(entries, explicitIds, loadedIds)` はReactなしでも同じ選択集合・依存順を計算します。
 返り値の `requiredBy` は依存先IDをキー、必要としている明示選択元IDの集合を値とするMapです。
 推移的依存・共有依存を含め、選択を解除すると依存元の集合も再計算します。
@@ -161,35 +173,19 @@ flowchart TB
 1回のプロジェクト読み込みにつき1つのダイアログで、読み込み待ちの拡張URLをすべて並べます。
 各行には「拒否」「サンドボックスあり」「サンドボックスなし」の3択があり、一括選択は対応する
 拡張すべてに同じ選択を適用します。見出し・一括選択・OK/キャンセルは常に見えたままで、
-一覧だけがスクロールします。下図では列見出しを「あり」「なし」と省略していますが、
-実際は「サンドボックスあり」「サンドボックスなし」と表示します。
+一覧だけがスクロールします。
 
-```
-+--------------------------------------------------------------------------+
-| 機能拡張セキュリティ                                                     |
-| 実行方法を選んでください（取得中でも選択できます）                       |
-|                                             機能拡張の情報：2/3 件を確認 |
-|                                                                          |
-| 表示中のすべてに適用: [(x) 拒否] [(o) あり] [(!) なし]                   |
-| そのモードに対応する拡張だけに適用します。                               |
-| +----------------------------------------------------------------------+ |
-| | 機能拡張                |   (x) 拒否   |   (o) あり   |   (!) なし   | |  <- この領域だけが
-| +----------------------------------------------------------------------+ |     スクロールする
-| | [バナー] Fetch          |     ( )      |    非対応    |     (*)      | |
-| |   作者 ... | ID: fetch | ライセンス: MIT | 更新日時 ...              | |
-| |   (!) この拡張はサンドボックス内では動作しません。                   | |
-| |       サンドボックスなし: 動作に必要                        [ 詳細 ] | |
-| +----------------------------------------------------------------------+ |
-| | [バナー] Storage        |     (*)      |     ( )      |     ( )      | |
-| |   メタデータを取得中…                                       [ 詳細 ] | |
-| +----------------------------------------------------------------------+ |
-| メタデータは作者の自己申告です。                                         |
-| サンドボックスなしの拡張は、プロジェクトやブラウザーの                   |
-| 情報にアクセスできます。                                                 |
-| 拒否 1 · あり 0 · なし 1 · 未指定 1                                      |
-|                                             [ キャンセル ]    [  OK  ]   |
-+--------------------------------------------------------------------------+
-```
+セキュリティ確認と選択一覧は、内部のパッケージ説明コンポーネントとカテゴリ見出しの処理を共有します。
+画像を元の縦横比のまま切り取らずに表示し、GitHub／npmリンク・実行要件バッジ・渡されたカテゴリ見出しを共通化しています。
+両画面とも「詳細」ボタン・ソースコードの一覧内表示はありません。ラジオボタンとチェックボックスは説明の外側、
+選択状態バッジは共通コンポーネントのスロットに配置します。
+
+セキュリティ確認の上部には次の案内を1回表示し、その下にメタデータ取得状況を表示します。
+
+> ⚠️マークの表示されている拡張を制作者の意図どおりに動作させるためには『サンドボックスなし』を選択してください。
+
+`context="catalog"` の場合だけ、フッター内のボタンより上の独立した行に「『キャンセル』で選択一覧に戻ります。」と表示します。
+プロジェクト読み込みのキャンセル確認は従来の戻り先を維持し、この案内を表示しません。
 
 続いて、2種類の確認ダイアログが出ることがあります。
 
@@ -200,7 +196,7 @@ flowchart TB
   できない可能性があります。続行しますか？」「いいえ」なら一覧に戻り、何も保存しません。
 
 バナーはホバーまたはキーボードフォーカスで原寸プレビューを表示します。画面より大きい画像は
-プレビュー枠内をスクロールして確認できます。ソースコードを一覧内に表示するのは「詳細」だけです。
+プレビュー枠内をスクロールして確認できます。両画面のサムネイルは同じ方法で、画像を切り取らずに表示します。
 
 ```mermaid
 sequenceDiagram
@@ -217,7 +213,7 @@ sequenceDiagram
     A->>A: 保存済みの既定値を読み出す
     V->>A: 包まれた_loadExtensions
     A->>D: 読み込み待ちの全件と復元した選択
-    D-->>U: 1つの一覧、個別と一括の3択、詳細
+    D-->>U: 1つの一覧、個別と一括の3択
     D->>D: メタデータとバナーを非同期に取得
     U->>D: OK
     D-->>U: 拒否があるときだけ続行確認
@@ -243,9 +239,9 @@ sequenceDiagram
 
 ## 責務
 
-- 一覧比較UI、個別・一括の3択、確認ダイアログ、ソースの詳細表示
+- 一覧比較UI、個別・一括の3択、確認ダイアログ
 - コードを実行しないメタデータ取得、実バナー／GitHub画像の候補選択、共通バナーへの切替
-- 画像・メタデータの非同期更新と独立した選択・詳細の状態保持
+- 画像・メタデータの非同期更新と選択状態の保持
 - プロジェクト別のIndexedDB保存と初期選択の復元
 - `./turbowarp` に分離したVM互換アダプター
 
@@ -254,19 +250,24 @@ ReactとReact DOMは任意のpeer dependencyです。React UIの利用時は両
 coreとVMアダプターの利用にReact/React DOMは必要ありません。
 
 ダイアログ全体の高さをビューポート内に制限し、見出し・一括選択・OK/キャンセルを維持したまま、
-一覧（詳細と注意書きを含む）だけをスクロールします。短い画面高では余白を詰めます。
+一覧（注意書きを含む）だけをスクロールします。短い画面高では余白を詰めます。
 
 ## メタデータとプレビュー
 
-HTTP/HTTPSの出所URLは完全なURLを表示し、別タブで開きます。埋め込み拡張や他のスキームはリンクにしません。
+セキュリティ確認ではHTTP/HTTPSの出所URLを別行に完全なURLで表示し、別タブで開きます。
+埋め込みソースのURLや他のスキームは出所リンクにしません。選択一覧は従来どおりドキュメントURLを表示し、JS配布URLは表示しません。
+埋め込みバンドルは先頭ヘッダーへ `// Author URL: https://example.org/creator`、
+`// Docs URL: https://example.org/docs/`、`// Package: @example/bundle` を宣言できます。
+セキュリティ確認にも、`By` / `Author` と組にした製作者リンク、HTTPSのドキュメントリンク、npmアイコンを表示します。
+`Repository`・`Banner`・`Version`・日英説明も共通の表示部品を使用し、内包メンバーのnoticeからバンドル自身の情報を補いません。
 ソース先頭の宣言コメントに `// Updated: 2026-10-19T10:30:00+09:00` などの更新日時がある場合、
 記載値をそのまま表示します。`Updated at` / `Updated-at` / `UpdatedAt` / `Last updated` / `Last-updated` /
 `Last modified` / `Last-modified` も同じ項目です。カスタム `loadInfo` は `metadata.updatedAt` を返せます。
 記載がなければ日時は表示せず、HTTPの取得日時やファイル時刻で補いません。
 
 バナーはホバーまたはキーボードフォーカスで原寸プレビューを表示します。画面より大きい画像は
-プレビュー枠内をスクロールして確認できます。ポインターを外すかEscapeで閉じ、選択や詳細状態を保持します。
-メタデータの非同期取得中も実行方法を選べます。ソースの一覧内表示は引き続き「詳細」を押したときだけです。
+プレビュー枠内をスクロールして確認できます。ポインターを外すかEscapeで閉じ、選択状態を保持します。
+メタデータの非同期取得中も実行方法を選べます。取得処理は宣言コメントの確認に使用し、コードを実行しません。
 
 ### 機能拡張の説明文の言語
 

package/README.md

@@ -85,32 +85,17 @@ three choices — **Deny**, **With sandbox**, **Without sandbox** — and a bulk
 one choice to every listed extension that supports it. The heading, the bulk row and the
 OK/Cancel buttons stay visible; only the list scrolls, so the dialog always fits the viewport.
 
-```
-+--------------------------------------------------------------------+
-| Extension Security                                                 |
-| Choose how to run each extension (you can choose while metadata    |
-| loads).                                 Extension information: 2/3 |
-|                                                                    |
-| Apply to all listed: [(x) Deny] [(o) With sandbox] [(!) Without]   |
-| Applies only to extensions that support this mode.                 |
-| +----------------------------------------------------------------+ |
-| | Extension             |  (x) Deny |   (o) With  | (!) Without  | |  <- only this
-| +----------------------------------------------------------------+ |     area scrolls
-| | [banner] Fetch        |    ( )    | Unsupported |     (*)      | |
-| |   Author: ... | ID: fetch | License: MIT | Updated: ...        | |
-| |   (!) This extension cannot run inside the sandbox.            | |
-| |       Without sandbox: Required to run             [ Details ] | |
-| +----------------------------------------------------------------+ |
-| | [banner] Storage      |    (*)    |     ( )     |     ( )      | |
-| |   Getting metadata...                              [ Details ] | |
-| +----------------------------------------------------------------+ |
-| Metadata is provided by the author.                                |
-| Extensions without a sandbox can access your project and browser   |
-| information.                                                       |
-| Deny 1 · With 0 · Without 1 · Unselected 1                         |
-|                                      [ Cancel ]       [  OK  ]     |
-+--------------------------------------------------------------------+
-```
+The security dialog and selection list use the same internal package-description renderer
+and category-section helper. They share uncropped images at their original aspect ratio,
+GitHub/npm service links, execution-requirement badges and supplied category headings.
+Neither view includes a Details button or inline source code. Radio buttons and checkboxes
+remain outside the description; selection-state badges use a slot in the shared renderer.
+
+The security dialog explains the warning badge once above the list: “To make extensions
+marked ⚠️ work as their creators intended, choose Without sandbox.” Metadata progress
+appears below it. With `context="catalog"`, a separate footer row above the buttons says
+“Choose Cancel to return to the selection list.” Project context retains its own cancellation
+confirmation and does not show that destination.
 
 Two confirmation dialogs can follow:
 
@@ -121,8 +106,7 @@ Two confirmation dialogs can follow:
   when it runs. Continue?" Answering *No* returns to the list and saves nothing.
 
 Hovering or keyboard-focusing a banner opens a full-size preview; images larger than the
-screen scroll inside the preview frame. *Details* is the only thing that shows extension
-source code inline.
+screen scroll inside the preview frame. Thumbnails use the same uncropped display in both views.
 
 ```mermaid
 sequenceDiagram
@@ -139,7 +123,7 @@ sequenceDiagram
     A->>A: read saved per-project defaults
     V->>A: wrapped _loadExtensions with ids and urls
     A->>D: all pending entries plus restored choices
-    D-->>U: one list, per-row and bulk choices, Details
+    D-->>U: one list, per-row and bulk choices
     D->>D: metadata and banners arrive asynchronously
     U->>D: OK
     D-->>U: continue-with-denied confirmation, only if anything is denied
@@ -165,10 +149,10 @@ implementation. The author would be glad to see it made redundant by TurboWarp E
 
 ## Responsibilities
 
-- Comparison list UI, per-row and bulk three-way choice, confirmation dialogs, source detail view
+- Comparison list UI, per-row and bulk three-way choice, confirmation dialogs
 - Metadata retrieval that never executes extension code, candidate selection between the real
   banner and GitHub images, fallback to a common banner
-- Asynchronous image and metadata updates that keep selection and detail state independent
+- Asynchronous image and metadata updates that preserve selection
 - Per-project IndexedDB storage and restoration of initial choices
 - A VM compatibility adapter, isolated in `./turbowarp`
 
@@ -177,13 +161,20 @@ after a cancel. React and React DOM are optional peer dependencies; supply both
 the React UI. Neither is needed for the core or the VM adapter.
 
 The dialog's total height is constrained to the viewport. The heading, bulk choice and
-OK/Cancel stay in place while only the list — including details and notices — scrolls.
+OK/Cancel stay in place while only the list — including notices — scrolls.
 Spacing tightens on short viewports.
 
 ## Metadata and previews
 
-HTTP/HTTPS origin URLs are shown in full and open in a new tab. Embedded extensions and other
-schemes are not linked.
+The security dialog retains its HTTP/HTTPS source-origin URL as a separate provenance line,
+opening in a new tab. Embedded source URLs and other schemes are not linked. The selection
+list keeps its documentation URL instead; it never displays the JavaScript distribution URL.
+
+Embedded bundles can declare `// Author URL: https://example.org/creator`,
+`// Docs URL: https://example.org/docs/` and `// Package: @example/bundle` in the leading
+header. Security review displays the declared creator link (with `By`/`Author`), HTTPS
+documentation link and npm icon. `Repository`, `Banner`, `Version` and localized descriptions
+use the same package renderer. Bundle member notices do not supply the bundle's own fields.
 
 If the leading declaration comment in the source carries an update timestamp such as
 `// Updated: 2026-10-19T10:30:00+09:00`, the written value is displayed verbatim.
@@ -258,7 +249,7 @@ compatibility entries resolve for older Webpack 4 setups that do not read packag
 
 ## Selecting extensions from a Pages catalog
 
-`ExtensionSelectionList` shares the security dialog's banners, metadata and Details view,
+`ExtensionSelectionList` shares the security dialog's banners and metadata,
 with one checkbox at the right of each row. This API supports the TurboWarp Plus library
 tracked in [#28](https://github.com/kubohiroya/turbowarp-extension-security-dialog/issues/28).
 The host fetches a versioned JSON catalog over HTTPS:
@@ -299,18 +290,34 @@ the dependency reason is also shown. The row's `data-selection-state` is `select
 
 Optional catalog categories render as semantic `h2` sections in dashboard order. Japanese
 uses `titleJa` when available, otherwise `title`; other locales use `title`. Search hides
-empty sections without changing selection or source controls. Catalogs without categories
+empty sections without changing selection. Catalogs without categories
 keep a flat list. If categorized and uncategorized entries are mixed, the latter appear
 under “Other extensions” at the end. Theme colors use the host's modal background and
 foreground; accent overrides are `--twextsec-manual-accent`, `--twextsec-dependency-accent`,
 `--twextsec-unselected-accent`, and `--twextsec-loaded-accent`.
 
-The selection list never loads or runs extension code. Catalog metadata renders immediately;
-only Details fetches the source as text. Source failures leave catalog metadata and selection
-usable. `ExtensionSecurityDialog context="catalog"` provides permission review with cancel
+Package selection states and dependency reasons appear below the preview image. The heading places the name, version, parenthesized ID and GitHub/npm icons in that order. Items after the name use regular weight and a font size 2pt smaller than the name, wrapping as needed.
+
+The selection list never loads or runs extension code. Catalog metadata renders immediately.
+It shows the verified GitHub Pages `docsURL`, and GitHub/ npm icon links to the repository
+and package page. Neither screen has a Details control or inline source; the JavaScript
+distribution URL remains confined to the security dialog’s provenance line.
+Creator names use `authorURL` only when explicitly supplied by the published package.json
+`author.url`. Every row discloses its unsandboxed requirement as required, optional, not needed
+or not confirmed; required mode includes a warning icon. `ExtensionSecurityDialog context="catalog"` provides permission review with cancel
 wording that returns to this list; its default `context="project"` retains project wording.
 The host must respect the committed execution modes and its own security policy.
 
+For shared images, service links and execution requirements, optional `entry.metadata`
+complements the fetched source metadata. If either declares `unsandboxed: required`, the
+shared badge, allowed choices, invalidation and batch defaults all honor that requirement.
+Security still waits for source metadata to settle (success or failure) before accepting OK;
+fetching declarations never executes the code. Security uses the source-header version,
+explicit creator/documentation links and source provenance; a creator without a URL stays
+plain text. Selection keeps catalog versions and links. Supplied `entry.category` is rendered in either view;
+category-free project entries stay flat without any catalog lookup or inferred category.
+
+
 The Pages document has the following contract (`schemaVersion: 1`):
 
 ```json

package/dist/index.cjs

@@ -110,6 +110,9 @@ var parseExtensionMetadata = (source) => {
     description: "description",
     author: "author",
     by: "author",
+    authorurl: "authorURL",
+    "author url": "authorURL",
+    "author-url": "authorURL",
     version: "version",
     updated: "updatedAt",
     updatedat: "updatedAt",
@@ -122,6 +125,10 @@ var parseExtensionMetadata = (source) => {
     license: "license",
     repository: "repository",
     source: "repository",
+    docsurl: "docsURL",
+    "docs url": "docsURL",
+    "docs-url": "docsURL",
+    package: "package",
     banner: "banner",
     thumbnail: "banner",
     image: "banner",
@@ -337,7 +344,20 @@ var preferences_default = preferences;
 // src/messages.js
 var messages = {
   "en": {
+    "securityInstruction": "To make extensions marked \u26A0\uFE0F work as their creators intended, choose Without sandbox.",
+    "catalogCancelDestination": "Choose Cancel to return to the selection list.",
     "selectionIntro": "Choose extensions to add. Required extensions are selected automatically.",
+    "documentationFor": "{name}: Documentation",
+    "repositoryFor": "{name}: GitHub repository",
+    "npmFor": "{name}: npm package",
+    "creatorLabel": "Creator:",
+    "creatorUnknown": "Not specified",
+    "licenseUnknown": "Not specified",
+    "unsandboxedRequirement": "Without sandbox: {requirement}",
+    "requirement-required": "Required",
+    "requirement-optional": "Optional",
+    "requirement-not-needed": "Not needed",
+    "requirement-unknown": "Not confirmed",
     "selectionRequired": "Requires running without a sandbox.",
     "selectedState": "Selected by you",
     "dependencyState": "Selected automatically",
@@ -394,7 +414,20 @@ var messages = {
     "warning": "Extensions without a sandbox can access your project and browser information."
   },
   "ja": {
+    "securityInstruction": "\u26A0\uFE0F\u30DE\u30FC\u30AF\u306E\u8868\u793A\u3055\u308C\u3066\u3044\u308B\u62E1\u5F35\u3092\u5236\u4F5C\u8005\u306E\u610F\u56F3\u3069\u304A\u308A\u306B\u52D5\u4F5C\u3055\u305B\u308B\u305F\u3081\u306B\u306F\u300E\u30B5\u30F3\u30C9\u30DC\u30C3\u30AF\u30B9\u306A\u3057\u300F\u3092\u9078\u629E\u3057\u3066\u304F\u3060\u3055\u3044\u3002",
+    "catalogCancelDestination": "\u300E\u30AD\u30E3\u30F3\u30BB\u30EB\u300F\u3067\u9078\u629E\u4E00\u89A7\u306B\u623B\u308A\u307E\u3059\u3002",
     "selectionIntro": "\u8FFD\u52A0\u3059\u308B\u6A5F\u80FD\u62E1\u5F35\u3092\u9078\u3093\u3067\u304F\u3060\u3055\u3044\u3002\u4F9D\u5B58\u3059\u308B\u6A5F\u80FD\u62E1\u5F35\u3082\u81EA\u52D5\u3067\u9078\u629E\u3055\u308C\u307E\u3059\u3002",
+    "documentationFor": "{name}: \u30C9\u30AD\u30E5\u30E1\u30F3\u30C8",
+    "repositoryFor": "{name}: GitHub\u30EA\u30DD\u30B8\u30C8\u30EA",
+    "npmFor": "{name}: npm\u30D1\u30C3\u30B1\u30FC\u30B8",
+    "creatorLabel": "\u88FD\u4F5C\u8005\uFF1A",
+    "creatorUnknown": "\u672A\u8A18\u8F09",
+    "licenseUnknown": "\u672A\u8A18\u8F09",
+    "unsandboxedRequirement": "\u30B5\u30F3\u30C9\u30DC\u30C3\u30AF\u30B9\u306A\u3057\uFF1A{requirement}",
+    "requirement-required": "\u5FC5\u8981",
+    "requirement-optional": "\u4EFB\u610F",
+    "requirement-not-needed": "\u4E0D\u8981",
+    "requirement-unknown": "\u672A\u78BA\u8A8D",
     "selectionRequired": "\u30B5\u30F3\u30C9\u30DC\u30C3\u30AF\u30B9\u306A\u3057\u3067\u306E\u5B9F\u884C\u304C\u5FC5\u8981\u3067\u3059\u3002",
     "selectedState": "\u624B\u52D5\u3067\u9078\u629E",
     "dependencyState": "\u4F9D\u5B58\u95A2\u4FC2\u3067\u81EA\u52D5\u9078\u629E",
@@ -423,7 +456,7 @@ var messages = {
     "unsandboxed": "\u30B5\u30F3\u30C9\u30DC\u30C3\u30AF\u30B9\u306A\u3057",
     "sandboxed": "\u30B5\u30F3\u30C9\u30DC\u30C3\u30AF\u30B9\u3042\u308A",
     "details": "\u8A73\u7D30",
-    "author": "\u4F5C\u8005 {author}",
+    "author": "\u88FD\u4F5C\u8005\uFF1A{author}",
     "id": "ID: {id}",
     "license": "\u30E9\u30A4\u30BB\u30F3\u30B9: {license}",
     "updated": "\u66F4\u65B0\u65E5\u6642 {updated}",
@@ -435,7 +468,7 @@ var messages = {
     "unsupported": "\u975E\u5BFE\u5FDC",
     "choiceReset": "\u975E\u5BFE\u5FDC\u306E\u9078\u629E\u3092\u89E3\u9664\u3057\u307E\u3057\u305F\u3002\u5B9F\u884C\u65B9\u6CD5\u3092\u9078\u3073\u76F4\u3057\u3066\u304F\u3060\u3055\u3044\u3002",
     "bulkNote": "\u305D\u306E\u30E2\u30FC\u30C9\u306B\u5BFE\u5FDC\u3059\u308B\u62E1\u5F35\u3060\u3051\u306B\u9069\u7528\u3057\u307E\u3059\u3002",
-    "note": "\u30E1\u30BF\u30C7\u30FC\u30BF\u306F\u4F5C\u8005\u306E\u81EA\u5DF1\u7533\u544A\u3067\u3059\u3002",
+    "note": "\u30E1\u30BF\u30C7\u30FC\u30BF\u306F\u88FD\u4F5C\u8005\u306E\u81EA\u5DF1\u7533\u544A\u3067\u3059\u3002",
     "summary": "\u62D2\u5426 {deny} \xB7 \u3042\u308A {sandboxed} \xB7 \u306A\u3057 {unsandboxed} \xB7 \u672A\u6307\u5B9A {unselected}",
     "cancel": "\u30AD\u30E3\u30F3\u30BB\u30EB",
     "ok": "OK",
@@ -444,7 +477,7 @@ var messages = {
     "cancelTitle": "\u8AAD\u307F\u8FBC\u307F\u306E\u30AD\u30E3\u30F3\u30BB\u30EB",
     "cancelQuestion": "\u3053\u306E\u30D7\u30ED\u30B8\u30A7\u30AF\u30C8\u306E\u8AAD\u307F\u8FBC\u307F\u3092\u30AD\u30E3\u30F3\u30BB\u30EB\u3057\u3001TurboWarp Editor\u306E\u521D\u671F\u753B\u9762\u306B\u623B\u308A\u307E\u3059\u3002\u30AD\u30E3\u30F3\u30BB\u30EB\u3057\u307E\u3059\u304B\uFF1F",
     "denyTitle": "\u6A5F\u80FD\u62E1\u5F35\u3092\u62D2\u5426\u3057\u3066\u7D9A\u884C",
-    "denyQuestion": "\u3053\u306E\u30D7\u30ED\u30B8\u30A7\u30AF\u30C8\u306E\u5B9F\u884C\u3092\u3059\u308B\u969B\u306B\u3001\u4F5C\u8005\u304C\u610F\u56F3\u3057\u305F\u52D5\u4F5C\u3092\u3067\u304D\u306A\u3044\u53EF\u80FD\u6027\u304C\u3042\u308A\u307E\u3059\u3002\u7D9A\u884C\u3057\u307E\u3059\u304B\uFF1F",
+    "denyQuestion": "\u3053\u306E\u30D7\u30ED\u30B8\u30A7\u30AF\u30C8\u306E\u5B9F\u884C\u3092\u3059\u308B\u969B\u306B\u3001\u88FD\u4F5C\u8005\u304C\u610F\u56F3\u3057\u305F\u52D5\u4F5C\u3092\u3067\u304D\u306A\u3044\u53EF\u80FD\u6027\u304C\u3042\u308A\u307E\u3059\u3002\u7D9A\u884C\u3057\u307E\u3059\u304B\uFF1F",
     "source": "\u30BD\u30FC\u30B9\u30B3\u30FC\u30C9",
     "sourceFailed": "\u30BD\u30FC\u30B9\u30B3\u30FC\u30C9\u3092\u53D6\u5F97\u3067\u304D\u307E\u305B\u3093\u3067\u3057\u305F\u3002",
     "preview": "{name} \u306E\u30D7\u30EC\u30D3\u30E5\u30FC",
@@ -464,6 +497,22 @@ var httpsURL = (value) => {
   if (url.protocol !== "https:" || url.username || url.password) throw new Error("Expected an HTTPS URL");
   return url.href;
 };
+var authorURL = (value) => {
+  if (typeof value !== "string" || !value.trim()) throw new Error("Expected an HTTP or HTTPS author URL");
+  const url = new URL(value);
+  if (!["http:", "https:"].includes(url.protocol) || url.username || url.password) {
+    throw new Error("Expected an HTTP or HTTPS author URL");
+  }
+  return url.href;
+};
+var npmPackageName = (value) => {
+  if (typeof value !== "string") throw new Error("Invalid npm package name");
+  const name = value.trim();
+  if (name.length > 214 || !/^(?:@[a-z0-9][a-z0-9._-]*\/)?[a-z0-9][a-z0-9._-]*$/.test(name) || ["node_modules", "favicon.ico"].includes(name)) {
+    throw new Error("Invalid npm package name");
+  }
+  return name;
+};
 var resolveExtensionSelection = (entries, explicitIds = [], loadedIds = []) => {
   const byId = /* @__PURE__ */ new Map();
   for (const entry of entries) {
@@ -548,6 +597,9 @@ var parseExtensionCatalog = (data) => {
     }
     if (item.banner) metadata.banner = httpsURL(item.banner);
     if (item.repository) metadata.repository = httpsURL(item.repository);
+    if (item.docsURL !== void 0) metadata.docsURL = httpsURL(item.docsURL);
+    if (item.authorURL !== void 0) metadata.authorURL = authorURL(item.authorURL);
+    if (item.package !== void 0) metadata.package = npmPackageName(item.package);
     const entry = { id: item.id, ids: [item.id], url, dependencies: [...new Set(item.dependencies)], metadata };
     if (item.category !== void 0) {
       if (typeof item.category !== "string" || !categories.has(item.category)) {

package/dist/index.d.ts

@@ -1,8 +1,11 @@
 export type Decision = 'deny' | 'sandboxed' | 'unsandboxed';
-export interface ExtensionEntry { url: string; ids: string[]; banner?: string; }
+export interface ExtensionEntry {
+    url: string; ids: string[]; banner?: string; metadata?: ExtensionMetadata; category?: ExtensionCategory;
+}
 export interface ExtensionMetadata {
     name?: string; id?: string; description?: string; author?: string; version?: string; updatedAt?: string;
     license?: string; repository?: string; banner?: string; unsandboxed?: string;
+    docsURL?: string; package?: string; authorURL?: string;
     descriptions?: Record<string, string>;
 }
 export interface ExtensionInfo { source: string; metadata: ExtensionMetadata; }

package/dist/index.mjs

@@ -61,6 +61,9 @@ var parseExtensionMetadata = (source) => {
     description: "description",
     author: "author",
     by: "author",
+    authorurl: "authorURL",
+    "author url": "authorURL",
+    "author-url": "authorURL",
     version: "version",
     updated: "updatedAt",
     updatedat: "updatedAt",
@@ -73,6 +76,10 @@ var parseExtensionMetadata = (source) => {
     license: "license",
     repository: "repository",
     source: "repository",
+    docsurl: "docsURL",
+    "docs url": "docsURL",
+    "docs-url": "docsURL",
+    package: "package",
     banner: "banner",
     thumbnail: "banner",
     image: "banner",
@@ -288,7 +295,20 @@ var preferences_default = preferences;
 // src/messages.js
 var messages = {
   "en": {
+    "securityInstruction": "To make extensions marked \u26A0\uFE0F work as their creators intended, choose Without sandbox.",
+    "catalogCancelDestination": "Choose Cancel to return to the selection list.",
     "selectionIntro": "Choose extensions to add. Required extensions are selected automatically.",
+    "documentationFor": "{name}: Documentation",
+    "repositoryFor": "{name}: GitHub repository",
+    "npmFor": "{name}: npm package",
+    "creatorLabel": "Creator:",
+    "creatorUnknown": "Not specified",
+    "licenseUnknown": "Not specified",
+    "unsandboxedRequirement": "Without sandbox: {requirement}",
+    "requirement-required": "Required",
+    "requirement-optional": "Optional",
+    "requirement-not-needed": "Not needed",
+    "requirement-unknown": "Not confirmed",
     "selectionRequired": "Requires running without a sandbox.",
     "selectedState": "Selected by you",
     "dependencyState": "Selected automatically",
@@ -345,7 +365,20 @@ var messages = {
     "warning": "Extensions without a sandbox can access your project and browser information."
   },
   "ja": {
+    "securityInstruction": "\u26A0\uFE0F\u30DE\u30FC\u30AF\u306E\u8868\u793A\u3055\u308C\u3066\u3044\u308B\u62E1\u5F35\u3092\u5236\u4F5C\u8005\u306E\u610F\u56F3\u3069\u304A\u308A\u306B\u52D5\u4F5C\u3055\u305B\u308B\u305F\u3081\u306B\u306F\u300E\u30B5\u30F3\u30C9\u30DC\u30C3\u30AF\u30B9\u306A\u3057\u300F\u3092\u9078\u629E\u3057\u3066\u304F\u3060\u3055\u3044\u3002",
+    "catalogCancelDestination": "\u300E\u30AD\u30E3\u30F3\u30BB\u30EB\u300F\u3067\u9078\u629E\u4E00\u89A7\u306B\u623B\u308A\u307E\u3059\u3002",
     "selectionIntro": "\u8FFD\u52A0\u3059\u308B\u6A5F\u80FD\u62E1\u5F35\u3092\u9078\u3093\u3067\u304F\u3060\u3055\u3044\u3002\u4F9D\u5B58\u3059\u308B\u6A5F\u80FD\u62E1\u5F35\u3082\u81EA\u52D5\u3067\u9078\u629E\u3055\u308C\u307E\u3059\u3002",
+    "documentationFor": "{name}: \u30C9\u30AD\u30E5\u30E1\u30F3\u30C8",
+    "repositoryFor": "{name}: GitHub\u30EA\u30DD\u30B8\u30C8\u30EA",
+    "npmFor": "{name}: npm\u30D1\u30C3\u30B1\u30FC\u30B8",
+    "creatorLabel": "\u88FD\u4F5C\u8005\uFF1A",
+    "creatorUnknown": "\u672A\u8A18\u8F09",
+    "licenseUnknown": "\u672A\u8A18\u8F09",
+    "unsandboxedRequirement": "\u30B5\u30F3\u30C9\u30DC\u30C3\u30AF\u30B9\u306A\u3057\uFF1A{requirement}",
+    "requirement-required": "\u5FC5\u8981",
+    "requirement-optional": "\u4EFB\u610F",
+    "requirement-not-needed": "\u4E0D\u8981",
+    "requirement-unknown": "\u672A\u78BA\u8A8D",
     "selectionRequired": "\u30B5\u30F3\u30C9\u30DC\u30C3\u30AF\u30B9\u306A\u3057\u3067\u306E\u5B9F\u884C\u304C\u5FC5\u8981\u3067\u3059\u3002",
     "selectedState": "\u624B\u52D5\u3067\u9078\u629E",
     "dependencyState": "\u4F9D\u5B58\u95A2\u4FC2\u3067\u81EA\u52D5\u9078\u629E",
@@ -374,7 +407,7 @@ var messages = {
     "unsandboxed": "\u30B5\u30F3\u30C9\u30DC\u30C3\u30AF\u30B9\u306A\u3057",
     "sandboxed": "\u30B5\u30F3\u30C9\u30DC\u30C3\u30AF\u30B9\u3042\u308A",
     "details": "\u8A73\u7D30",
-    "author": "\u4F5C\u8005 {author}",
+    "author": "\u88FD\u4F5C\u8005\uFF1A{author}",
     "id": "ID: {id}",
     "license": "\u30E9\u30A4\u30BB\u30F3\u30B9: {license}",
     "updated": "\u66F4\u65B0\u65E5\u6642 {updated}",
@@ -386,7 +419,7 @@ var messages = {
     "unsupported": "\u975E\u5BFE\u5FDC",
     "choiceReset": "\u975E\u5BFE\u5FDC\u306E\u9078\u629E\u3092\u89E3\u9664\u3057\u307E\u3057\u305F\u3002\u5B9F\u884C\u65B9\u6CD5\u3092\u9078\u3073\u76F4\u3057\u3066\u304F\u3060\u3055\u3044\u3002",
     "bulkNote": "\u305D\u306E\u30E2\u30FC\u30C9\u306B\u5BFE\u5FDC\u3059\u308B\u62E1\u5F35\u3060\u3051\u306B\u9069\u7528\u3057\u307E\u3059\u3002",
-    "note": "\u30E1\u30BF\u30C7\u30FC\u30BF\u306F\u4F5C\u8005\u306E\u81EA\u5DF1\u7533\u544A\u3067\u3059\u3002",
+    "note": "\u30E1\u30BF\u30C7\u30FC\u30BF\u306F\u88FD\u4F5C\u8005\u306E\u81EA\u5DF1\u7533\u544A\u3067\u3059\u3002",
     "summary": "\u62D2\u5426 {deny} \xB7 \u3042\u308A {sandboxed} \xB7 \u306A\u3057 {unsandboxed} \xB7 \u672A\u6307\u5B9A {unselected}",
     "cancel": "\u30AD\u30E3\u30F3\u30BB\u30EB",
     "ok": "OK",
@@ -395,7 +428,7 @@ var messages = {
     "cancelTitle": "\u8AAD\u307F\u8FBC\u307F\u306E\u30AD\u30E3\u30F3\u30BB\u30EB",
     "cancelQuestion": "\u3053\u306E\u30D7\u30ED\u30B8\u30A7\u30AF\u30C8\u306E\u8AAD\u307F\u8FBC\u307F\u3092\u30AD\u30E3\u30F3\u30BB\u30EB\u3057\u3001TurboWarp Editor\u306E\u521D\u671F\u753B\u9762\u306B\u623B\u308A\u307E\u3059\u3002\u30AD\u30E3\u30F3\u30BB\u30EB\u3057\u307E\u3059\u304B\uFF1F",
     "denyTitle": "\u6A5F\u80FD\u62E1\u5F35\u3092\u62D2\u5426\u3057\u3066\u7D9A\u884C",
-    "denyQuestion": "\u3053\u306E\u30D7\u30ED\u30B8\u30A7\u30AF\u30C8\u306E\u5B9F\u884C\u3092\u3059\u308B\u969B\u306B\u3001\u4F5C\u8005\u304C\u610F\u56F3\u3057\u305F\u52D5\u4F5C\u3092\u3067\u304D\u306A\u3044\u53EF\u80FD\u6027\u304C\u3042\u308A\u307E\u3059\u3002\u7D9A\u884C\u3057\u307E\u3059\u304B\uFF1F",
+    "denyQuestion": "\u3053\u306E\u30D7\u30ED\u30B8\u30A7\u30AF\u30C8\u306E\u5B9F\u884C\u3092\u3059\u308B\u969B\u306B\u3001\u88FD\u4F5C\u8005\u304C\u610F\u56F3\u3057\u305F\u52D5\u4F5C\u3092\u3067\u304D\u306A\u3044\u53EF\u80FD\u6027\u304C\u3042\u308A\u307E\u3059\u3002\u7D9A\u884C\u3057\u307E\u3059\u304B\uFF1F",
     "source": "\u30BD\u30FC\u30B9\u30B3\u30FC\u30C9",
     "sourceFailed": "\u30BD\u30FC\u30B9\u30B3\u30FC\u30C9\u3092\u53D6\u5F97\u3067\u304D\u307E\u305B\u3093\u3067\u3057\u305F\u3002",
     "preview": "{name} \u306E\u30D7\u30EC\u30D3\u30E5\u30FC",
@@ -415,6 +448,22 @@ var httpsURL = (value) => {
   if (url.protocol !== "https:" || url.username || url.password) throw new Error("Expected an HTTPS URL");
   return url.href;
 };
+var authorURL = (value) => {
+  if (typeof value !== "string" || !value.trim()) throw new Error("Expected an HTTP or HTTPS author URL");
+  const url = new URL(value);
+  if (!["http:", "https:"].includes(url.protocol) || url.username || url.password) {
+    throw new Error("Expected an HTTP or HTTPS author URL");
+  }
+  return url.href;
+};
+var npmPackageName = (value) => {
+  if (typeof value !== "string") throw new Error("Invalid npm package name");
+  const name = value.trim();
+  if (name.length > 214 || !/^(?:@[a-z0-9][a-z0-9._-]*\/)?[a-z0-9][a-z0-9._-]*$/.test(name) || ["node_modules", "favicon.ico"].includes(name)) {
+    throw new Error("Invalid npm package name");
+  }
+  return name;
+};
 var resolveExtensionSelection = (entries, explicitIds = [], loadedIds = []) => {
   const byId = /* @__PURE__ */ new Map();
   for (const entry of entries) {
@@ -499,6 +548,9 @@ var parseExtensionCatalog = (data) => {
     }
     if (item.banner) metadata.banner = httpsURL(item.banner);
     if (item.repository) metadata.repository = httpsURL(item.repository);
+    if (item.docsURL !== void 0) metadata.docsURL = httpsURL(item.docsURL);
+    if (item.authorURL !== void 0) metadata.authorURL = authorURL(item.authorURL);
+    if (item.package !== void 0) metadata.package = npmPackageName(item.package);
     const entry = { id: item.id, ids: [item.id], url, dependencies: [...new Set(item.dependencies)], metadata };
     if (item.category !== void 0) {
       if (typeof item.category !== "string" || !categories.has(item.category)) {