插件安全红线：签名、权限与数据隔离

签名是硬门槛

7AA7 工具箱把“可信任”放在第一位。任何插件在加载前都必须通过签名校验：

• 二进制必须带有效 Authenticode 签名；
• 签名者证书需由 7AA7 信任链签发或备案；
• 插件清单里的指纹与实际文件必须一致，否则直接拒绝加载。

接口标识 IID

宿主靠接口 ID 识别插件契约。升级不兼容时务必升版本号，否则旧宿主会拒绝：

// 当前契约版本
Q_PLUGIN_METADATA(IID "com.7aa7.toolbox.I7AA7Plugin/2.1")

权限最小化

插件只应申请它真正需要的 HostApi 能力，常见红线：

• 不要请求全局文件系统读写，优先用 Host 提供的沙箱目录；
• 网络请求必须走 Host 的统一出口，禁止私自建立长连接；
• 涉及用户凭证的接口一律不碰，交由宿主处理。

数据隔离

插件与宿主、插件与插件之间数据互不越界。你的临时文件落在 plugins/<id>/data/，卸载时整体清除，不留痕。千万不要写注册表或系统目录来“持久化状态”。

上线自检清单

1. □ 签名有效且指纹匹配；
2. □ IID 版本与依赖的 HostApi 一致；
3. □ 权限申请最小化、可解释；
4. □ 卸载后无残留文件与注册项；
5. □ 异常路径下不崩溃、不卡死宿主。