结论：不能一概而论，官方市场插件相对安全，第三方破解版风险极高。

① 优先从官方插件市场下载，这类插件经过基本审核，代码里留后门的概率低很多。

② 破解版、淘宝几块钱买的插件是重灾区，常见手法是藏一句话木马、远程回传管理员密码，甚至直接留 webshell。

③ 装之前用 D 盾或河马查杀扫一遍，重点看有没有 eval、base64_decode、curl 外连陌生域名这类可疑代码。

④ 装完后用防火墙限制插件目录的 PHP 执行权限，再观察几天服务器有没有异常外连。拿不准的插件，宁可不装。