装起来越容易的插件，越该先看一眼！装插件前先看这 6 条！两分钟避开在你电脑上偷偷跑代码的坑

大白话很多人装 AI 编程插件时点一下就完事，但插件里可能塞了 hooks 和 MCP 服务器，这俩都会在你电脑上真跑命令。作者给了个两分钟速查法：一看仓库还活着没，二打开 .mcp.json 和 hooks.json 看它到底跑什么，三看它要什么权限（token、文件、网络），四看作者靠不靠谱，五看有没有开源协议，六看 plugin.json 里有没有绝对路径和硬编码密钥。README 一屏说不清能读什么、能写什么、数据去哪，就直接跳过。

对你意味着经常给 AI 编程助手装插件、接 MCP 的人尤其该看，随手装的插件可能正在读你的文件和密钥。