EmDash 插件如何工作：沙箱化能力，而非全盘信任
EmDash 插件围绕显式能力与隔离执行构建，为管理员与插件作者提供比传统 CMS 插件更清晰的可信模型。
理解 EmDash 插件最简单的一句话是：默认不会把一切都交给插件信任。
听起来理所当然，但这正是核心设计差异。
在许多 CMS 生态里，插件之所以强大，是因为它与应用共享同一宽泛的运行时，并继承对应用的广泛访问。EmDash 走相反方向：插件从窄开始，只能通过已声明的能力逐步扩展。
「沙箱化能力」指什么
EmDash 插件需要向平台说明自己需要什么。
通常包括两类：
- 希望响应哪些钩子或生命周期事件
- 要完成有用工作需要哪些能力
这对运营方与开发者都是更好的模型。
运营方更容易回答「这个插件到底在干什么？」开发者则获得更清晰的插件编写契约。
为何优于宽泛信任
若插件只需在内容发布时做出反应，就不应默默继承无关权力。
受限模型能收窄误用空间，从而改善安全结果；也能改善评审结果——你可以在安装前评估范围，而不是事后从代码行为反推。
这样就把插件评估从模糊的「信任」变成显式的「权限审查」。
对插件作者意味着什么
对作者而言，能力驱动模型不只是安全特性，更是产品设计纪律。
它会迫使你在早期就问得更好：
- 这个插件应该负责什么？
- 哪些事件应触发它？
- 它真正需要哪些平台服务？
- 哪些完全可以放在插件之外？
这通常会导向更小、更聚焦的扩展。
对站点管理员意味着什么
对管理员来说，最大优势是可预期性。
健康的插件生态不只靠数量，更要能安装有用软件时，不必觉得每次集成都是一次信仰之跃。
EmDash 通过让插件范围更易检视、推理与治理来支持这一点。
在审批插件的人与写插件的人不是同一人时，这一点尤其重要。
可操作的插件评审标准
若你在评估 EmDash 插件，应问这些问题：
- 它订阅了哪些生命周期钩子？
- 它请求了哪些能力？
- 该范围是否与插件对外承诺一致？
- 是否需要网络访问？若有，限制是否足够明确？
这比「装得多，大概没问题」健康得多。
为何对生态重要
插件生态要成功，需要鼓励实验，又不必要求盲信。
这就是沙箱化能力的长期价值：不只降低单个站点的风险，也让生态在增长时，不必把安全评审变成永久救火。
一句话总结：EmDash 插件之所以可行，是因为围绕「已声明范围」设计，而非「继承权力」。