### Использование минифицированной и протестированной production-версии (доступна source-map)```html
<script type="text/javascript" src="dist/purify.min.js"></script>

Или, возможно, это, если вы любите работать с Angular или подобными:```js
import DOMPurify from 'dompurify';

const clean = DOMPurify.sanitize('<b>hello there</b>');

### Есть ли здесь подводные камни?

Что ж, обратите внимание: если вы _сначала_ санируете HTML, а _затем_ изменяете его, вы можете легко **свести на нет эффект санитизации**. Если вы передаёте санированную разметку в другую библиотеку _после_ санитизации, убедитесь, что эта библиотека не манипулирует HTML самостоятельно. См. [Security Goals & Threat Model](https://github.com/cure53/DOMPurify/wiki/Security-Goals-&-Threat-Model) для рецептов безопасного использования и тегов/атрибутов, о которых стоит подумать дважды, а также [Attack Classes & Bypass History](https://github.com/cure53/DOMPurify/wiki/Attack-Classes-&-Bypass-History) о том, почему постобработка и изменение контекста разметки сводят санитизацию на нет.

### Хорошо, логично, двигаемся дальше

После санитизации разметки вы также можете взглянуть на свойство `DOMPurify.removed` и узнать, какие элементы и атрибуты были удалены. Пожалуйста, **не используйте** это свойство для принятия каких-либо решений, критичных для безопасности. Это всего лишь небольшой помощник для любопытных умов.

### Запуск DOMPurify на сервере

Технически DOMPurify также работает на стороне сервера с Node.js. Наша поддержка стремится следовать [циклу релизов Node.js](https://nodejs.org/en/about/previous-releases).

Для запуска DOMPurify на сервере требуется наличие DOM, что, вероятно, никого не удивит. Обычно [jsdom](https://github.com/jsdom/jsdom) является инструментом выбора, и мы **настоятельно рекомендуем** использовать последнюю версию _jsdom_.

Почему? Потому что старые версии _jsdom_ известны своими багами, которые приводят к XSS _даже если_ DOMPurify делает всё на 100% правильно. Существуют **известные векторы атак**, например, в _jsdom v19.0.0_, которые исправлены в _jsdom v20.0.0_ — и поэтому мы действительно рекомендуем поддерживать _jsdom_ в актуальном состоянии.

Также учтите, что существуют такие инструменты, как [happy-dom](https://github.com/capricorn86/happy-dom), но на данный момент они **не считаются безопасными**. Комбинировать DOMPurify с _happy-dom_ в настоящее время не рекомендуется, и это, скорее всего, приведёт к XSS. Для понимания того, почему выбранный вами серверный DOM является частью вашей доверенной вычислительной базы, см. [Attack Classes & Bypass History](https://github.com/cure53/DOMPurify/wiki/Attack-Classes-&-Bypass-History).

Помимо этого, вы можете спокойно использовать DOMPurify на сервере. Вероятно. Это действительно зависит от _jsdom_ или любого другого DOM, который вы используете на стороне сервера. Если вас это устраивает, вот как заставить это работать:```bash
npm install dompurify
npm install jsdom

Или даже так, если вы предпочитаете работать с импортами:```js
import { JSDOM } from 'jsdom';
import DOMPurify from 'dompurify';

const window = new JSDOM('').window;
const purify = DOMPurify(window);
const clean = purify.sanitize('<b>hello there</b>');

| `-s` | Silent mode. Suppress all output except errors. |
| `-v` | Verbose mode. Show detailed progress information. |
| `-o <file>` | Write output to the specified file instead of stdout. |
| `-f <format>` | Specify output format: `json`, `csv`, or `text`. |
| `-t <threads>` | Number of concurrent threads to use. Default: `10`. |
| `-T <seconds>` | Connection timeout in seconds. Default: `30`. |
| `-r <retries>` | Number of retry attempts on failure. Default: `3`. |
| `-p <proxy>` | Use the specified proxy for all connections. |
| `-H <header>` | Add a custom HTTP header to all requests. |
| `-A <agent>` | Set a custom User-Agent string. |
| `-c <config>` | Load configuration from the specified file. |
| `-n` | Disable DNS resolution. |
| `-q` | Quiet mode. Only display results. |
| `-d` | Enable debug output. |
| `-h` | Display help message and exit. |
| `-V` | Display version information and exit. |

### Configuration File

The tool supports a configuration file in YAML format. By default, it looks for `config.yaml` in the current working directory. You can specify an alternative path using the `-c` flag.

```yaml
# Example configuration file
target: example.com
threads: 20
timeout: 60
retries: 5
output:
  format: json
  file: results.json
proxy: http://127.0.0.1:8080
headers:
  X-Custom-Header: "value"
  Authorization: "Bearer token"

./tool -t example.com

./tool -f targets.txt -v

./tool -t example.com -o results.json -f json

./tool -t example.com -p http://127.0.0.1:8080 -H "X-Custom: value"

./tool -t example.com -t 50 -T 120

[+] Target: example.com
[+] Status: 200 OK
[+] Server: nginx/1.18.0
[+] Detected: WordPress 5.8.1

{
  "target": "example.com",
  "status": 200,
  "server": "nginx/1.18.0",
  "detected": {
    "cms": "WordPress",
    "version": "5.8.1"
  }
}

target,status,server,cms,version
example.com,200,nginx/1.18.0,WordPress,5.8.1

## Есть ли демо?

Конечно, есть демо! [Поиграйте с DOMPurify](https://cure53.de/purify)

## Что делать, если я найду уязвимость?

Прежде всего, пожалуйста, немедленно свяжитесь с нами по [электронной почте](mailto:[email protected]), чтобы мы могли заняться исправлением. [PGP-ключ](https://keyserver.ubuntu.com/pks/lookup?op=vindex&search=0xC26C858090F70ADA)

Кроме того, вы, вероятно, имеете право на вознаграждение за найденную уязвимость! Замечательные люди из [Fastmail](https://www.fastmail.com/) используют DOMPurify для своих сервисов и добавили нашу библиотеку в свою программу bug bounty. Поэтому, если вы найдёте способ обойти или ослабить DOMPurify, пожалуйста, также ознакомьтесь с их сайтом и [информацией о bug bounty](https://www.fastmail.com/about/bugbounty/).

## Можно несколько примеров очистки?

Как выглядит очищенная разметка? Что ж, [демо](https://cure53.de/purify) показывает это для большого набора опасных элементов. Но давайте также покажем несколько примеров поменьше!```js
DOMPurify.sanitize(''); // becomes <img src="https://raw.githubusercontent.com/cure53/dompurify/main/x">
DOMPurify.sanitize('<svg><g/onload=alert(2)//<p>'); // becomes <svg><g></g></svg>
DOMPurify.sanitize('<p>abcdef</p>'); // becomes <p>abc</p>
DOMPurify.sanitize('<math><mi//xlink:href="data:x,<script>alert(4)</script>">'); // becomes <math><mi></mi></math>
DOMPurify.sanitize('<TABLE><tr><td>HELLO</tr></TABL>'); // becomes <table><tbody><tr><td>HELLO</td></tr></tbody></table>
DOMPurify.sanitize('<UL><li><A HREF=//google.com>click</UL>'); // becomes <ul><li><a href="//google.com">click</a></li></ul>

Когда `TRUSTED_TYPES_POLICY` не передан, DOMPurify пытается создать собственную внутреннюю политику Trusted Types с именем `dompurify`. Если ваша страница уже определяет собственную политику вместе со строгим CSP (например, `trusted-types my-organization`), которая не разрешает политику с именем `dompurify`, эта попытка блокируется браузером и регистрирует предупреждение `TrustedTypes policy dompurify could not be created.` вместе с нарушением CSP.

Чтобы DOMPurify не создавал свою внутреннюю резервную политику, передайте `TRUSTED_TYPES_POLICY: null`. Это правильный выбор, когда вы вызываете `DOMPurify.sanitize` изнутри `createHTML` вашей собственной политики, и это означает, что вам не нужно добавлять `dompurify` в список разрешённых `trusted-types` вашего CSP.```js
window.trustedTypes.createPolicy('my-organization', {
  createHTML: (input) =>
    DOMPurify.sanitize(input, { TRUSTED_TYPES_POLICY: null }),
});

### Управление нашими списками разрешений и блокировок```js
// allow only <b> elements, very strict
const clean = DOMPurify.sanitize(dirty, { ALLOWED_TAGS: ['b'] });

// allow only <b> and <q> with style attributes
const clean = DOMPurify.sanitize(dirty, {
  ALLOWED_TAGS: ['b', 'q'],
  ALLOWED_ATTR: ['style'],
});

// allow all safe HTML elements but neither SVG nor MathML
// note that the USE_PROFILES setting will override the ALLOWED_TAGS setting
// so don't use them together
const clean = DOMPurify.sanitize(dirty, { USE_PROFILES: { html: true } });

// allow all safe SVG elements and SVG Filters, no HTML or MathML
const clean = DOMPurify.sanitize(dirty, {
  USE_PROFILES: { svg: true, svgFilters: true },
});

// allow all safe MathML elements and SVG, but no SVG Filters
const clean = DOMPurify.sanitize(dirty, {
  USE_PROFILES: { mathMl: true, svg: true },
});

// change the default namespace from HTML to something different
const clean = DOMPurify.sanitize(dirty, {
  NAMESPACE: 'http://www.w3.org/2000/svg',
});

// leave all safe HTML as it is and add <style> elements to block-list
const clean = DOMPurify.sanitize(dirty, { FORBID_TAGS: ['style'] });

// leave all safe HTML as it is and add style attributes to block-list
const clean = DOMPurify.sanitize(dirty, { FORBID_ATTR: ['style'] });

// extend the existing array of allowed tags and add <my-tag> to allow-list
const clean = DOMPurify.sanitize(dirty, { ADD_TAGS: ['my-tag'] });

// extend the existing array of allowed attributes and add my-attr to allow-list
const clean = DOMPurify.sanitize(dirty, { ADD_ATTR: ['my-attr'] });

// use functions to control which additional tags and attributes are allowed
const allowlist = {
  one: ['attribute-one'],
  two: ['attribute-two'],
};
const clean = DOMPurify.sanitize(
  '<one attribute-one="1" attribute-two="2"></one><two attribute-one="1" attribute-two="2"></two>',
  {
    ADD_TAGS: (tagName) => {
      return Object.keys(allowlist).includes(tagName);
    },
    ADD_ATTR: (attributeName, tagName) => {
      return allowlist[tagName]?.includes(attributeName) || false;
    },
  }
); // <one attribute-one="1"></one><two attribute-two="2"></two>

// prohibit ARIA attributes, leave other safe HTML as is (default is true)
const clean = DOMPurify.sanitize(dirty, { ALLOW_ARIA_ATTR: false });

// prohibit HTML5 data attributes, leave other safe HTML as is (default is true)
const clean = DOMPurify.sanitize(dirty, { ALLOW_DATA_ATTR: false });

### Управление поведением, связанным со значениями URI```js
// extend the existing array of elements that can use Data URIs
const clean = DOMPurify.sanitize(dirty, { ADD_DATA_URI_TAGS: ['a', 'area'] });

// extend the existing array of elements that are safe for URI-like values (be careful, XSS risk)
const clean = DOMPurify.sanitize(dirty, { ADD_URI_SAFE_ATTR: ['my-attr'] });

### Влияние на возвращаемый тип```js
// return a DOM HTMLBodyElement instead of an HTML string (default is false)
const clean = DOMPurify.sanitize(dirty, { RETURN_DOM: true });

// return a DOM DocumentFragment instead of an HTML string (default is false)
const clean = DOMPurify.sanitize(dirty, { RETURN_DOM_FRAGMENT: true });

// use the RETURN_TRUSTED_TYPE flag to turn on Trusted Types support if available
const clean = DOMPurify.sanitize(dirty, { RETURN_TRUSTED_TYPE: true }); // will return a TrustedHTML object instead of a string if possible

// use a provided Trusted Types policy
const clean = DOMPurify.sanitize(dirty, {
  // supplied policy must define createHTML and createScriptURL
  TRUSTED_TYPES_POLICY: trustedTypes.createPolicy('dompurify', {
    createHTML(s) {
      return s;
    },
    createScriptURL(s) {
      return s;
    },
  }),
});

// opt out of DOMPurify's internal `dompurify` Trusted Types policy entirely
// (useful when your CSP `trusted-types` allowlist does not include `dompurify`)
const clean = DOMPurify.sanitize(dirty, { TRUSTED_TYPES_POLICY: null });

### Замечание о вызове `sanitize()` из хука

**`DOMPurify.sanitize()` не является реентерабельным.** Пожалуйста, не вызывайте его изнутри хука или из callback-функции конфигурации, такой как `CUSTOM_ELEMENT_HANDLING.tagNameCheck` или `attributeNameCheck`. Эти callback-функции выполняются в _середине_ активного прохода санитайзера.

Вложенный вызов `sanitize()` повторно считывает переданную ему конфигурацию и тем самым **заменяет конфигурацию, которую всё ещё использует внешний проход**. Остальная часть внешнего документа затем санитизируется с использованием конфигурации вложенного вызова вместо вашей. Поскольку вложенный вызов обычно выполняется с конфигурацией по умолчанию, строгий allow-list `ALLOWED_TAGS` может незаметно расшириться обратно до стандартного где-то в середине документа — без ошибок и без предупреждений.

Если вам нужно санитизировать вложенную разметку, например HTML-фрагмент, содержащийся внутри значения атрибута, у вас есть два безопасных варианта. Либо задайте конфигурацию один раз с помощью [`DOMPurify.setConfig`](#persistent-configuration) вместо передачи её при каждом вызове, поскольку постоянная конфигурация используется совместно вложенным вызовом и остаётся в силе на протяжении всего прохода; либо соберите фрагменты во время хука и санитизируйте их отдельным вызовом `sanitize()` _после_ возврата внешнего вызова.

## Удалённая конфигурация

| Опция           | С версии | Примечание                  |
| --------------- | -------- | --------------------------- |
| SAFE_FOR_JQUERY | 2.1.0    | Замена не требуется.        |

## Непрерывная интеграция

В настоящее время мы используем GitHub Actions в сочетании с Playwright. Это позволяет нам подтверждать при каждом коммите, что всё работает в соответствующих современных браузерах, а отдельный запланированный workflow и workflow при слиянии повторно запускают набор тестов на старых снимках движков, чтобы также выявлять поломки в устаревших браузерах. Ознакомьтесь с логами сборки здесь: https://github.com/cure53/DOMPurify/actions

Вы также можете запускать локальные тесты, выполнив `npm run test`.

Все соответствующие коммиты будут подписаны ключом `0x24BB6BF4` для дополнительной безопасности (начиная с 8 апреля 2016 года).

### Разработка и участие

#### Установка (`npm i`)

Мы официально поддерживаем `npm`. Workflow GitHub Actions настроен на установку зависимостей с помощью `npm`. При использовании устаревшей версии `npm` мы не можем полностью гарантировать версии устанавливаемых зависимостей, что может привести к непредвиденным проблемам.

#### Скрипты

Мы используем ESLint через `xo` как часть нашего pre-commit workflow, чтобы помочь обеспечить согласованность кода. Кроме того, мы используем [Prettier](https://github.com/prettier/prettier) для форматирования исходного кода и Markdown, а ресурсы в `/dist` собираются через `rollup`.

Вот наши npm-скрипты:

- `npm run dev` — собрать неминифицированный UMD-бандл, отслеживая изменения в исходниках
- `npm run test` — проверить исходники линтером, запустить тесты через jsdom и запустить браузерные тесты в Chromium через Playwright
  - `npm run test:jsdom` — запустить только тесты через jsdom
  - `npm run test:happydom` — запустить набор тестов через happy-dom (неподдерживаемая среда; сохранена как проверка устойчивости, а не обещание совместимости)
  - `npm run test:browser` — запустить только тесты через Playwright
  - `npm run test:browser:legacy` — запустить набор тестов на старых движках браузеров (укажите `PW_MODULE` на закреплённую старую установку Playwright; см. `.github/workflows/legacy-browsers.yml`)
  - `npm run test:ci` — запустить CI-поток тестирования для jsdom и Playwright
  - `npm run test:fuzz` — запустить небольшой фаззер, покрывающий `sanitize()` и CONFIG
- `npm run bench` — запустить микробенчмарк jsdom на собранном `dist/purify.cjs` (сначала соберите; `--json` и `--compare a.json b.json` поддерживают A/B-запуски между ветками — результаты ориентировочные, подтверждайте заявления о пользовательском опыте в реальных браузерах)
- `npm run coverage` — собрать инструментированный бандл, запустить набор тестов jsdom и записать локальный HTML-отчёт о покрытии строк/ветвей в `coverage/index.html` (только в области jsdom, не запускается в CI)
  - `npm run build:cov` — собрать только инструментированный бандл покрытия
- `npm run lint` — проверить исходники с помощью ESLint через xo
- `npm run format` — отформатировать исходники JavaScript/TypeScript и Markdown с помощью Prettier
  - `npm run format:js` — отформатировать только исходники JavaScript/TypeScript
  - `npm run format:md` — отформатировать только файлы Markdown
- `npm run build` — собрать объявления типов и дистрибутивные бандлы, затем исправить и очистить сгенерированные типы
  - `npm run build:types` — только сгенерировать файлы объявлений TypeScript
  - `npm run build:rollup` — собрать все бандлы Rollup
  - `npm run build:umd` — собрать только неминифицированный UMD-бандл
  - `npm run build:umd:min` — собрать только минифицированный UMD-бандл
  - `npm run build:es` — собрать только бандл ES-модуля
  - `npm run build:cjs` — собрать только бандл CommonJS
  - `npm run build:fix-types` — постобработать сгенерированные файлы типов
  - `npm run build:cleanup` — очистить временный сгенерированный вывод типов
- `npm run verify-typescript` — запустить скрипт верификации TypeScript
- `npm run commit-amend-build` — запустить вспомогательный скрипт мейнтейнера для изменения вывода сборки

Примечание: все скрипты запускаются через `npm run <script>`.

Есть и другие npm-скрипты, но они в основном предназначены для интеграции с CI или считаются «приватными», например для изменения дистрибутивных файлов сборки при каждом коммите.

## Список рассылки по безопасности

Мы поддерживаем список рассылки, который уведомляет о каждом выпуске DOMPurify, **критичном для безопасности**. Это означает, что если кто-то нашёл обход и мы исправили его выпуском (что всегда происходит при обнаружении обхода), на этот список будет отправлено письмо. Обычно это происходит в течение нескольких минут или нескольких часов после того, как мы узнаём об обходе. Подписаться на список можно здесь:

[https://lists.ruhr-uni-bochum.de/mailman/listinfo/dompurify-security](https://lists.ruhr-uni-bochum.de/mailman/listinfo/dompurify-security)

О выпусках с новыми функциями в этом списке не объявляется.

## Кто внёс вклад?

Многие люди помогли DOMPurify стать тем, чем он является сегодня, и они заслуживают признания!

[gnyselcuk](https://github.com/gnyselcuk), [leechristensen](https://github.com/leechristensen),[offset](https://github.com/offset), [Bankde](https://github.com/Bankde), [lukewarlow](https://github.com/lukewarlow), [DEMON1A](https://github.com/DEMON1A), [fg0x0](https://github.com/fg0x0), [kodareef5](https://github.com/kodareef5), [DavidOliver](https://github.com/DavidOliver), [1Jesper1](https://github.com/1Jesper1), [bencalif](https://github.com/bencalif), [trace37labs](https://github.com/trace37labs), [eddieran](https://github.com/eddieran), [christos-eth](https://github.com/christos-eth), [researchatfluidattacks](https://github.com/researchatfluidattacks), [frevadiscor](https://github.com/frevadiscor), [Rotzbua](https://github.com/Rotzbua), [binhpv](https://github.com/binhpv), [MariusRumpf](https://github.com/MariusRumpf), [prasadrajandran](https://github.com/prasadrajandran), [Cybozu 💛💸](https://github.com/cybozu), [hata6502 💸](https://github.com/hata6502), [openclaw 💸](https://github.com/openclaw), [intra-mart-dh 💸](https://github.com/intra-mart-dh), [nelstrom ❤️](https://github.com/nelstrom), [hash_kitten ❤️](https://twitter.com/hash_kitten), [kevin_mizu ❤️](https://twitter.com/kevin_mizu), [icesfont ❤️](https://github.com/icesfont), [reduckted ❤️](https://github.com/reduckted), [dcramer 💸](https://github.com/dcramer), [JGraph 💸](https://github.com/jgraph), [baekilda 💸](https://github.com/baekilda), [Healthchecks 💸](https://github.com/healthchecks), [Sentry 💸](https://github.com/getsentry), [jarrodldavis 💸](https://github.com/jarrodldavis), [CynegeticIO](https://github.com/CynegeticIO), [ssi02014 ❤️](https://github.com/ssi02014), [GrantGryczan](https://github.com/GrantGryczan), [Lowdefy](https://twitter.com/lowdefy), [granlem](https://twitter.com/MaximeVeit), [oreoshake](https://github.com/oreoshake), [tdeekens ❤️](https://github.com/tdeekens), [peernohell ❤️](https://github.com/peernohell), [is2ei](https://github.com/is2ei), [SoheilKhodayari](https://github.com/SoheilKhodayari), [franktopel](https://github.com/franktopel), [NateScarlet](https://github.com/NateScarlet), [neilj](https://github.com/neilj), [fhemberger](https://github.com/fhemberger), [Joris-van-der-Wel](https://github.com/Joris-van-der-Wel), [ydaniv](https://github.com/ydaniv), [terjanq](https://twitter.com/terjanq), [filedescriptor](https://github.com/filedescriptor), [ConradIrwin](https://github.com/ConradIrwin), [gibson042](https://github.com/gibson042), [choumx](https://github.com/choumx), [0xSobky](https://github.com/0xSobky), [styfle](https://github.com/styfle), [koto](https://github.com/koto), [tlau88](https://github.com/tlau88), [strugee](https://github.com/strugee), [oparoz](https://github.com/oparoz), [mathiasbynens](https://github.com/mathiasbynens), [edg2s](https://github.com/edg2s), [dnkolegov](https://github.com/dnkolegov), [dhardtke](https://github.com/dhardtke), [wirehead](https://github.com/wirehead), [thorn0](https://github.com/thorn0), [styu](https://github.com/styu), [mozfreddyb ❤️](https://github.com/mozfreddyb), [mikesamuel](https://github.com/mikesamuel), [jorangreef](https://github.com/jorangreef), [jimmyhchan](https://github.com/jimmyhchan), [jameydeorio](https://github.com/jameydeorio), [jameskraus](https://github.com/jameskraus), [hyderali](https://github.com/hyderali), [hansottowirtz](https://github.com/hansottowirtz), [hackvertor](https://github.com/hackvertor), [freddyb](https://github.com/freddyb), [flavorjones](https://github.com/flavorjones), [djfarrelly](https://github.com/djfarrelly), [devd](https://github.com/devd), [camerondunford](https://github.com/camerondunford), [buu700](https://github.com/buu700), [buildog](https://github.com/buildog), [alabiaga](https://github.com/alabiaga), [Vector919](https://github.com/Vector919), [Robbert](https://github.com/Robbert), [GreLI](https://github.com/GreLI), [FuzzySockets](https://github.com/FuzzySockets), [ArtemBernatskyy](https://github.com/ArtemBernatskyy), [@garethheyes](https://twitter.com/garethheyes), [@shafigullin](https://twitter.com/shafigullin), [@mmrupp](https://twitter.com/mmrupp), [@irsdl](https://twitter.com/irsdl),[ShikariSenpai](https://github.com/ShikariSenpai), [ansjdnakjdnajkd](https://github.com/ansjdnakjdnajkd), [@asutherland](https://twitter.com/asutherland), [@mathias](https://twitter.com/mathias), [@cgvwzq](https://twitter.com/cgvwzq), [@robbertatwork](https://twitter.com/robbertatwork), [@giutro](https://twitter.com/giutro), [@CmdEngineer\_](https://twitter.com/CmdEngineer_), [@avr4mit](https://twitter.com/avr4mit), [davecardwell](https://github.com/davecardwell), [Develop-KIM](https://github.com/Develop-KIM), [asamuzaK](https://github.com/asamuzaK), [fishjojo1 ❤️](https://github.com/fishjojo1), [Rikuxx0](https://github.com/Rikuxx0), [donmccurdy](https://github.com/donmccurdy), [hhk-png](https://github.com/hhk-png), [elrion018](https://github.com/elrion018), [michalnieruchalski-tiugo](https://github.com/michalnieruchalski-tiugo), [reey](https://github.com/reey), [KanhaKanhaiya](https://github.com/KanhaKanhaiya), [odaysec](https://github.com/odaysec), [Akokonunes](https://github.com/Akokonunes), [alirezarouhbakhsh](https://github.com/alirezarouhbakhsh), [Jaybhade](https://github.com/Jaybhade) и особенно [@securitymb ❤️](https://twitter.com/securitymb) и [@masatokinugawa ❤️](https://twitter.com/masatokinugawa)