WordPress 驱动着互联网上超过 40% 的网站，是开源出版领域的标志性成就。但这个项目今年已经 24 岁了。从租用 VPS 到把一个 JS Bundle 部署到全球分布式网络、几乎零成本运行——托管网站的方式已经发生了根本性变化。
核心矛盾在于插件安全。WordPress 96% 的安全问题源自插件。2025 年被发现的高危漏洞数量超过此前两年之和。原因很简单：WordPress 插件是直接挂载到 WordPress 执行上下文中的 PHP 脚本，可以不受限制地访问数据库和文件系统。你安装一个插件，等于把所有权限都交给了它。
2026 年 4 月 1 日，Cloudflare 正式发布了 EmDash —— 一个用 TypeScript 从零构建的开源 CMS，MIT 协议授权，目标是成为 WordPress 的"精神继承者"。
EmDash 的关键技术选择：
没有复用任何 WordPress 代码，所以能以 MIT 协议开源。
EmDash 最核心的设计是插件沙箱化。每个插件运行在独立的 Dynamic Worker 隔离环境中，通过声明式清单（manifest）请求特定能力：
import { definePlugin } from "emdash";
export default () =>
definePlugin({
id: "notify-on-publish",
version: "1.0.0",
capabilities: ["read:content", "email:send"],
hooks: {
"content:afterSave": async (event, ctx) => {
if (event.collection !== "posts" || event.content.status !== "published") return;
await ctx.email!.send({
to: "[email protected]",
subject: `New post published: ${event.content.title}`,
text: `"${event.content.title}" is now live.`,
});
ctx.log.info(`Notified editors about ${event.content.id}`);
},
},
});这个插件声明了两个能力：read:content 和 email:send。它不可能做声明之外的事，没有外部网络访问，没有数据库直接访问。如果需要网络访问，必须在清单中指定具体的目标主机名。
这个安全模型类似 OAuth 授权流程：你在安装插件时就能看到它请求了哪些权限，做出明确的信任决策。
下图展示了 WordPress 单体架构与 EmDash 隔离架构的对比——WordPress 的任意插件都能访问数据库和媒体库，而 EmDash 通过 Trusted Worker 作为能力网关，将每个插件的访问范围严格限制在其声明的 capabilities 内：
WordPress 的插件安全问题导致了一系列连锁效应：
EmDash 通过两个属性打破这种锁定：
当安全模型本身提供约束时，你不再需要一个集中式市场来建立信任。
EmDash 内置了 x402 支持 —— 一个互联网原生的开放支付标准。工作流程：
402 Payment Required配置方式极简：指定哪些内容需要付费、定价多少、提供钱包地址即可。零工程量，无需订阅体系。
这是为 AI 时代准备的商业模式 —— 当访客是 Agent 而不是人类时，传统的广告模型失效，按需付费成为自然选择。
下图是完整的 x402 支付时序：Agent 请求内容 → EmDash 中间件匹配付费规则返回 402 → Agent 完成支付 → x402 facilitator 验证 → 内容放行：
WordPress 需要预配服务器、管理扩缩容。EmDash 基于 Cloudflare Workers 的 v8 isolate 架构：
与传统虚拟机相比，V8 isolates 将进程开销压缩到极致，同等资源下能运行数倍的用户代码实例：
通过 Cloudflare for Platforms，平台方可以运行数百万个 EmDash 实例，每个实例都能独立地从零扩展到任意 RPS。
EmDash 主题就是一个 Astro 项目，包含：
与 WordPress 主题通过 functions.php 获得近乎无限的执行能力不同，EmDash 主题永远无法执行数据库操作。
EmDash 设计之初就考虑了 AI Agent 的交互需求：
EmDash 提供两种迁移路径：
迁移过程自动处理附件媒体，支持自定义内容类型映射到 EmDash 的独立 Collection。
本地创建：
npm create emdash@latest或在 EmDash Playground 直接体验管理界面。
EmDash 目前是 v0.1.0 预览版。考虑到这是 Cloudflare 用 AI 编程 Agent 在两个月内从零构建的成果，完成度相当可观。不过"WordPress 替代品"的定位注定了这是一条漫长的路 —— WordPress 24 年积累的生态不是 TypeScript 重写能直接继承的。
值得关注的是它的插件安全模型和 x402 支付集成，这两个设计确实切中了当前 Web 生态的实际痛点。