第 10 章：安全、性能与诊断 —— shell 运行时的最后边界¶
10.1 安全边界一：你正在执行一组源码¶
Oh My Zsh 的所有核心文件、插件和主题都会在当前 shell 进程中执行。它们不是声明式配置，也没有权限隔离。启用一个第三方插件，等价于允许它读取环境、定义 hook、调用外部命令并修改 shell 状态。
因此安全审查要看：
.plugin.zsh是否有网络下载、命令替换或动态eval；- theme 是否执行外部命令并把结果直接放入 prompt；
- completion 目录是否可被其他用户写入；
custom/是否来自共享 dotfiles 仓库；- install/update 是否从预期 remote 拉取代码。
10.2 安全边界二：补全目录权限¶
补全函数是可执行代码。compaudit 检查 fpath 路径的 owner 和 mode，默认路径使用 compinit -i 规避不安全目录。
若用户选择：
应把它理解为“关闭权限保护”，而不是“修复权限”。更合理的处理是查出问题目录并收紧权限：
不要为了消除提示而把整个 home 或系统目录递归改权限。
10.3 安全边界三：prompt expansion¶
目录名、Git branch、VCS revision 和远端信息都可能包含 %。Oh My Zsh 在 lib/git.zsh、lib/vcs_info.zsh 等位置做了转义，这是防止数据被当成 prompt 控制序列重新解释的关键。
自定义代码也应遵循：
对于外部命令输出，优先使用 print -r --、带引号的参数和局部变量，避免未经审查的文本被再次解析。
10.4 启动性能的成本模型¶
启动时间可以近似拆成：
总耗时
= 固定 core 初始化
+ compinit / zcompdump
+ 每个 lib 的 source 成本
+ 每个启用插件的 source 成本
+ 主题初始化成本
+ 首次动态生成/网络检查成本
最常见的慢点不是 .zshrc 行数，而是：
- 每个 prompt 都调用
git status； - 插件无条件执行外部命令探测；
- 动态补全每次重生成；
- cache 或 fpath 变化导致 dump 失效；
- 启用大量与当前工作无关的插件。
10.5 测量方法¶
总启动时间¶
使用多次结果的中位数，避免文件系统缓存和网络波动误导判断。
zsh 函数级 profiling¶
注意从完整 .zshrc 中测量；只 source 某个插件会遗漏 compinit、theme 和 custom 的交互成本。
启动 trace¶
用最后一个 source 或耗时明显的外部命令定位阶段。不要把完整 trace 上传到公开 issue，里面可能含路径、用户名和环境变量。
10.6 诊断工具¶
lib/diagnostics.zsh 提供 omz_diagnostic_dump，用于收集核心命令版本、OS 信息、关键配置和文件内容。它适合生成可共享的排障报告，但共享前仍要检查敏感路径、用户名、token 和本地 custom 内容。
有问题时也可以先使用最小配置隔离：
然后逐步 source oh-my-zsh.sh、启用单个 plugin、最后启用 theme。这样能把“core、plugin、theme、custom”的问题分类。
10.7 诊断决策树¶
flowchart TD
A[启动报错/变慢] --> B{zsh -f 是否正常?}
B -- 否 --> C[zsh/系统环境问题]
B -- 是 --> D{空 plugins + 空 theme?}
D -- 否 --> E[逐个恢复插件/主题]
D -- 是 --> F{compinit 是否慢/报权限?}
F -- 是 --> G[compaudit、zcompdump、fpath]
F -- 否 --> H[zprof 和 xtrace]
E --> I{单个组件复现?}
I -- 是 --> J[查该组件 README/外部依赖]
I -- 否 --> H10.8 最终判断¶
Oh My Zsh 的工程价值不在于每个 alias，而在于它把复杂的 shell 初始化问题压缩成一套可理解的边界：
oh-my-zsh.sh负责时序；fpath负责可发现性；compinit负责补全注册与缓存；lib负责公共运行时；- plugin/theme 负责可组合功能与表现；
- custom 负责最后覆盖；
- cache 负责将昂贵状态移出核心代码；
- zstyle 负责把策略从实现中抽离。
这套设计很轻，但不是没有架构。它把架构放进了文件名、目录名、加载顺序和 zsh 原生机制里。理解这些隐形契约，就能读懂绝大多数 Oh My Zsh 插件，也能写出不拖慢、不污染、可升级的自定义扩展。