diff --git a/README.md b/README.md
index 9ade37e..ef2ffbf 100644
--- a/README.md
+++ b/README.md
@@ -104,6 +104,16 @@ NUXT_PUBLIC_API_BASE=http://127.0.0.1:8080 HOST=127.0.0.1 PORT=3000 npm run prev
 正式部署应使用独立版本目录和进程管理，并配置 HTTPS、接口 / WebSocket 反向代理及回滚流程。
 本仓库的提交和构建不会自动修改生产服务器。
 
+### 浏览器安全边界
+
+应用响应统一提供 `nosniff`、`no-referrer`、同源嵌入限制，以及约束嵌入祖先、对象和 base 地址的部分 CSP。
+这不是完整的脚本来源策略或 XSS 防护；HTTPS、后端鉴权与限流仍由部署环境和服务端负责。
+若反向代理直接返回静态页面而不经过 Nuxt，必须在代理层提供同等响应头，并在部署后实际检查。
+
+实名认证插件 HTML 在只允许脚本的隔离帧内显示，不能继承会员中心的同源权限。
+本地测试验证动态二维码与父页面隔离；真实渠道的跨域请求、Cookie、表单和跳转兼容性仍须联调，
+不能为了恢复未知插件行为而直接授予 `allow-same-origin`。
+
 ## 源码目录
 
 ```text
@@ -147,6 +157,8 @@ CHROME_PATH=/absolute/path/to/chrome npm test
 级联配置、商品字段校验、安全随机密码和三态主题；补充维护布局、深色样式隔离、
 上传控件名称、导航键盘焦点及监控图表减动回归。还覆盖固定手机号区号、密码自动填充与键盘显隐、
 按钮文字对比度、库存与网络规格一致性、商品编号边界，以及官网选购咨询和图片失败降级。
+专项回归还检查离页/切换会话后的派生操作、新旧编辑草稿、通知失败重试、微信二维码解码失败、
+认证插件父页面隔离，以及实际页面响应的浏览器安全策略。
 测试产物保存在被忽略的 `tests/fixtures/runs/`。
 详细使用方式见 [测试说明](tests/README.md)。