WordPress 外掛安全為何一再失敗，以及 EmDash 改變了什麼
WordPress 外掛風險不只是品質問題，更是執行模型問題。EmDash 透過隔離外掛並僅授予宣告權限來改變信任模型。
WordPress 外掛安全常被討論成「程式寫得差、維護者放棄、審查不一致」的問題。這些確實存在，但它們位於更底層設計選擇之下：WordPress 外掛通常擁有遠超其應有的權限。
這表示外掛漏洞很少侷限在單一小功能；它可能變成全站問題，因為外掛與應用程式其餘部分運行在同一個寬廣執行環境中。
問題為何一再重複
WordPress 外掛生態龐大，因為 WordPress 讓擴充變容易。這種開放創造巨大價值，也創造了基於深度信任的安全模型。
實務上，安裝外掛往往意味著信任它能：
- 存取資料庫
- 存取檔案系統
- 使用寬廣的執行 hook
- 間接暴露在使用者、機器人與其他外掛產生的任意輸入之下
到了這一步，安全變成寄望每位外掛作者永遠做出正確決策。對大型生態而言，這不是可擴張的假設。
真正的問題是過度授權
外掛不該只因要完成一個窄任務就獲得廣泛權限。
若某外掛在文章發佈後寄信，重要問題不是它是否熱門，而是它實際能做什麼。
現代安全模型應讓管理員能回答：
- 此外掛能讀內容嗎？
- 能寫內容嗎？
- 能寄信嗎？
- 能呼叫外部服務嗎？
- 能碰觸它未宣告範圍之外的任何東西嗎？
WordPress 並非圍繞這種明確權限邊界設計。
EmDash 改變了什麼
EmDash 採取不同路徑。外掛在隔離沙盒中執行，並應事先宣告所需權限。
這很重要，因為它把外掛信任從模糊聲望轉為可見範圍。
更好的外掛系統不是承諾作者完美，而是當作者犯錯時限制爆炸半徑。
有了明確權限模型，你能更直接推理外掛風險：
- 內容自動化外掛可限制在內容 hook 與讀取權限
- 郵件整合可限制在寄信
- 網路存取可縮小到特定目的地，而非預設全開
這更適合需要安全審查流程、而非外掛人氣競賽的團隊。
對真實 CMS 營運為何重要
多數內容團隊沒時間深度稽核每個外掛，仍需要整合、發佈自動化、預覽、通知與編輯工作流程。實務問題是平台是否提供合理的預設信任模型。
EmDash 在這裡敘事較強：不是假設每個外掛都值得廣泛存取，而是從相反立場出發——存取應刻意且窄化授予。
此設計選擇並未消除審查需求，但讓審查更有意義。
更大的結論
WordPress 外掛安全問題不只是「外掛不安全」，而是生態中外掛一開始就擁有過多信任。
EmDash 不只靠要求更好的行為來解決，而是改變執行模型：
- 隔離外掛
- 宣告權限
- 只授予所需
- 降低外掛錯誤的後果
這是寄望式外掛系統與為約束而建的系統之間的差異。