DaoKeCMS插件开发的最佳实践总结：

代码规范

• 文件编码UTF-8无BOM
• PHP文件首行加DK_IN守卫
• 函数名加插件前缀避免冲突
• 钩子注册在main.php顶层
• 不修改框架代码只编写plugins目录

安全实践

• 所有SQL用预处理参数禁止拼接用户输入
• 所有外部文本用e()转义
• POST请求有CSRF校验
• 文件操作用白名单校验路径
• 不收集用户隐私数据

兼容与降级

• 对外函数有as_plugin_enabled守卫
• 停用时返回空而非报错
• 模板侧用function_exists守卫
• 钩子用static变量防重复注册

数据实践

• 私有表用{PREFIX}占位符
• 字段给NOT NULL DEFAULT值
• 用CREATE TABLE IF NOT EXISTS
• 软删除优于物理删除