haori 0.64.0 → 0.65.0

package/README.ja.md

@@ -2,7 +2,7 @@
 
 Haori.js は、HTML 属性を中心にして動的な UI を実現する軽量なライブラリです。JavaScript をほとんど書かずに、データバインディング、条件分岐、繰り返し処理、フォームの双方向バインディング、サーバー通信などを HTML 属性で宣言できます。
 
-バージョン: 0.64.0
+バージョン: 0.65.0
 
 ---
 
@@ -60,10 +60,11 @@ ES Module:
 import Haori from 'haori';
 ```
 
-CSP（Content Security Policy）で `'unsafe-eval'` を許さないページでは、読み込む `<script>` に `data-csp` を書きます（ESM では `Haori.setCsp(true)`）。式を `new Function` を使わずに評価します。推奨する CSP と移行の手順は [仕様書の「Content Security Policy (CSP)」](docs/ja/specs.md#content-security-policy-csp) を参照してください。
+既定は CSP モードです。式を `new Function` を使わずに評価するため、CSP（Content Security Policy）で `'unsafe-eval'` を許さないページでもそのまま動きます。`data-click-run` などの本文を JavaScript として実行する従来の方式を使う場合は、読み込む `<script>` に `data-csp="false"` を書きます（ESM では `Haori.setCsp(false)`）。従来の方式は `'unsafe-eval'` を必要とします。0.64.0 までは従来の方式が既定でした。推奨する CSP と移行の手順は [仕様書の「Content Security Policy (CSP)」](docs/ja/specs.md#content-security-policy-csp) を参照してください。
 
 ```html
-<script src="https://cdn.jsdelivr.net/npm/haori/dist/haori.iife.js" data-csp></script>
+<!-- 従来の方式 -->
+<script src="https://cdn.jsdelivr.net/npm/haori/dist/haori.iife.js" data-csp="false"></script>
 ```
 
 ---
@@ -179,7 +180,7 @@ JS からバインドデータを読むには `Haori.Core.getBindingData(element
 
 公開運用メモ:
 
-1. `npm run test`、`npm run build`、`npm pack --dry-run` を実行する
+1. `npm run test`、`npm run test:legacy`、`npm run build`、`npm pack --dry-run` を実行する
 2. `npm version patch` などで公開する版数に更新する
 3. `git push origin main` と `git push origin --tags` を実行する
 4. 新しい版数タグから GitHub Release を公開する
@@ -198,8 +199,11 @@ npm install
 ```bash
 npm run compile
 npm run test
+npm run test:legacy
 ```
 
+`npm run test` は CSP モード（既定）で、`npm run test:legacy` は従来の方式で全単体テストを流します。
+
 3. 配布物のビルド
 
 ```bash
@@ -232,6 +236,7 @@ git push origin --tags
 公開前の推奨確認:
 
 - `npm run test`
+- `npm run test:legacy`
 - `npm run build`
 - `npm pack --dry-run`
 

package/README.md

@@ -2,7 +2,7 @@
 
 Haori.js is a lightweight, HTML-first UI library that enables dynamic user interfaces primarily through HTML attributes. It lets you declare data bindings, conditional rendering, list rendering, form two-way binding, server fetches, and HTML imports without writing much JavaScript.
 
-Version: 0.64.0
+Version: 0.65.0
 
 ---
 
@@ -60,10 +60,11 @@ ES Module import:
 import Haori from 'haori';
 ```
 
-On pages whose Content Security Policy does not allow `'unsafe-eval'`, add `data-csp` to the `<script>` tag (or call `Haori.setCsp(true)` with ES modules). Expressions are then evaluated without `new Function`. See "Content Security Policy (CSP)" in the specification (`docs/ja/specs.md`, Japanese) for the recommended policy and the migration steps.
+The CSP mode is the default. Expressions are evaluated without `new Function`, so Haori works on pages whose Content Security Policy does not allow `'unsafe-eval'`. To use the legacy mode, which runs the bodies of `data-click-run` and similar attributes as JavaScript, add `data-csp="false"` to the `<script>` tag (or call `Haori.setCsp(false)` with ES modules). The legacy mode requires `'unsafe-eval'`. Up to 0.64.0, the legacy mode was the default. See "Content Security Policy (CSP)" in the specification (`docs/ja/specs.md`, Japanese) for the recommended policy and the migration steps.
 
 ```html
-<script src="https://cdn.jsdelivr.net/npm/haori/dist/haori.iife.js" data-csp></script>
+<!-- Legacy mode -->
+<script src="https://cdn.jsdelivr.net/npm/haori/dist/haori.iife.js" data-csp="false"></script>
 ```
 
 ---
@@ -181,7 +182,7 @@ Basic local verification and release preparation steps:
 
 Quick release memo:
 
-1. Run `npm run test`, `npm run build`, and `npm pack --dry-run`.
+1. Run `npm run test`, `npm run test:legacy`, `npm run build`, and `npm pack --dry-run`.
 2. Bump the package version with `npm version patch` or the intended version command.
 3. Push `main` and tags with `git push origin main` and `git push origin --tags`.
 4. Publish a GitHub Release from the new version tag.
@@ -200,8 +201,11 @@ npm install
 ```bash
 npm run compile
 npm run test
+npm run test:legacy
 ```
 
+`npm run test` runs all unit tests in the CSP mode (the default), and `npm run test:legacy` runs them in the legacy mode.
+
 3. Build release artifacts
 
 ```bash
@@ -234,6 +238,7 @@ Required repository setup:
 Recommended pre-release checks:
 
 - `npm run test`
+- `npm run test:legacy`
 - `npm run build`
 - `npm pack --dry-run`