EmDash 外掛如何運作：沙盒化權限，而非全面信任
EmDash 外掛以明確權限與隔離執行為核心，為管理員與外掛作者提供比傳統 CMS 外掛更清晰的可信模型。
理解 EmDash 外掛最簡單的方式是：它們預設並不會被信任擁有一切。
聽起來理所當然，卻是核心設計差異。
在許多 CMS 生態裡，外掛之所以強大，是因為它與應用程式共用寬廣的執行環境，並繼承對應用程式的大範圍存取。EmDash 走向相反：外掛從窄範圍開始，只能透過宣告的權限（capabilities）擴張。
「沙盒化權限」是什麼意思
EmDash 外掛應向平台說明它需要什麼。
通常包含兩件事：
- 要回應哪些 hook 或生命週期事件
- 要完成有用工作所需哪些權限
對營運者與開發者都是更好的模型。
營運者能更清楚回答「這個外掛實際在做什麼？」開發者則得到更乾淨的外掛撰寫契約。
為何優於廣泛信任
若外掛只需要在內容發佈時反應，就不該默默繼承無關能力。
受限模型能帶來更好的安全結果，因為它縮小了誤用空間；也能帶來更好的審查結果，因為你可以在安裝前評估範圍，而不是事後從程式行為推測。
這把外掛評估從模糊的信任，變成明確的權限審查。
對外掛作者的意義
對作者而言，權限驅動模型不只是安全功能，也是產品設計紀律。
它會在早期逼出更好的問題：
- 這個外掛應負責什麼？
- 應由哪些事件觸發？
- 它真正需要哪些平台服務？
- 哪些可以完全留在外掛之外？
通常會導向更小、更聚焦的擴充。
對網站管理員的意義
對管理員來說，最大優勢是可預測性。
健康的外掛生態不只靠數量，還要靠「安裝有用軟體時，不必覺得每次整合都是一場信仰跳躍」。
EmDash 的做法讓外掛範圍更容易檢視、推理與治理。
在核准外掛的人與撰寫外掛的人不是同一人時，這點尤其重要。
實務上的外掛審查標準
若你在評估 EmDash 外掛，應問這些問題：
- 它訂閱哪些生命週期 hook？
- 它請求哪些權限？
- 該範圍是否與外掛對使用者的承諾一致？
- 是否需要網路存取？若有，定義是否夠嚴謹？
這比「安裝數很多，應該沒問題」健康得多。
為何對生態系重要
外掛生態要成功，必須鼓勵實驗，又不要求盲目信任。
這就是沙盒化權限的長期價值：不只降低單一站台的風險，也讓生態在成長時，不必把安全審查變成永無止境的救火。
若要一句話總結：EmDash 外掛之所以可行，是因為設計圍繞「宣告的範圍」，而非「繼承的權力」。