Vì sao Z-CMS sử dụng V8 Isolate thay vì Node.js VM

Câu hỏi kiến trúc phía sau plugin system

Khi bắt đầu thiết kế plugin system cho Z-CMS, câu hỏi trung tâm không phải là làm thế nào để load thêm một JavaScript module. Vấn đề thực sự là làm sao cho phép third-party developer mở rộng CMS mà không trao cho mọi plugin quyền kiểm soát không giới hạn đối với server.

Một plugin phải đủ mạnh để mở rộng platform, nhưng cũng phải đủ cô lập để một bug, memory leak hoặc đoạn code chạy vô hạn không làm mất ổn định toàn bộ CMS. Nếu tất cả plugin chạy trực tiếp trong cùng Node.js runtime với CMS Core, một plugin có thể ảnh hưởng đến mọi tenant và mọi request.

Cách tiếp cận Node.js truyền thống

Một plugin loader cơ bản có thể dùng require() hoặc dynamic import. Cách này dễ hiểu và nhanh triển khai, nhưng plugin sẽ chia sẻ cùng process, event loop, memory space, environment variables và Node.js APIs với Core. Ngay cả một lỗi vô tình cũng có thể trở thành sự cố nghiêm trọng.

Vì sao Node.js vm chưa phải security boundary cuối cùng

Module vm tích hợp sẵn có thể tạo JavaScript context riêng. Nó hữu ích cho controlled scripting, nhưng context vẫn nằm trong cùng V8 Isolate và cùng operating-system process. Vì vậy, nó vẫn chia sẻ event loop, process memory và garbage collector với CMS Core.

Z-CMS cần nhiều hơn context separation: independent memory limits, execution timeout và lifecycle control cho từng plugin.

CMS Core
│
├── Plugin SEO
│   └── V8 Isolate
├── Plugin AI
│   └── V8 Isolate
└── Plugin Analytics
    └── V8 Isolate

Mô hình V8 Isolate

V8 Isolate là một JavaScript execution environment độc lập bên trong V8 engine. Mỗi isolate có heap, global object, execution context và garbage collector riêng.

Plugin không tự động truy cập được process.env, host filesystem, child_process hoặc các object nội bộ của Core. Nó chỉ nhận những capability mà Z-CMS chủ động expose.

Capability-based API

Thay vì expose toàn bộ Node.js runtime, Z-CMS cung cấp một SDK có kiểm soát. Plugin có thể sử dụng content, storage, cache, event, logging, HTTP hoặc settings capability theo manifest của nó.

Mọi bridge call đều được validate. Nếu plugin không có permission storage:write, thao tác ghi sẽ bị từ chối ngay cả khi plugin cố gọi method tương ứng.

{
  "name": "@z-cms/plugin-seo",
  "permissions": [
    "content:read",
    "content:update",
    "settings:read"
  ],
  "runtime": {
    "memoryLimitMb": 64,
    "timeoutMs": 2000
  }
}

CPU, timeout và memory limits

Hook chạy trong request lifecycle không được phép chạy vô hạn. Z-CMS có thể đặt maximum duration cho từng execution và terminate hoặc recycle isolate khi vượt policy.

Memory policy cũng có thể khai báo theo plugin. Plugin nhỏ nhận heap giới hạn, trong khi plugin xử lý dữ liệu đã được phê duyệt có thể được cấp allocation lớn hơn.

Isolate không tự động là sandbox hoàn hảo

Mức độ an toàn phụ thuộc vào bridge do host expose. Nếu Core cung cấp một API system command nguy hiểm, isolate không thể bù cho sai lầm thiết kế đó. Vì vậy Z-CMS không expose raw Node.js API hoặc database connection; không cấp filesystem hay network access không giới hạn; validate và serialize dữ liệu qua runtime boundary; enforce tenant, user và plugin permission trong Core; đồng thời áp dụng timeout và audit log cho thao tác nhạy cảm.

Vì sao không dùng một container cho mỗi plugin?

Container cung cấp operating-system isolation mạnh hơn, nhưng kéo theo image distribution, network management, service discovery, startup latency, logging complexity và resource overhead. Với phần lớn plugin business logic, V8 Isolate tạo được cân bằng thực tế giữa isolation, startup speed và operational cost.

Failure containment và kết luận

Khi plugin lỗi, isolate có thể bị terminate mà CMS Core vẫn tiếp tục chạy. Repeated failures có thể kích hoạt circuit breaker để tạm suspend plugin trong khi phần còn lại của platform vẫn healthy.

Z-CMS sử dụng V8 Isolate vì plugin isolation không phải tính năng phụ trong một marketplace-driven CMS. Mỗi plugin nhận runtime độc lập, explicit capability, resource limit và lifecycle có thể kiểm soát. Cách tiếp cận này không loại bỏ mọi security risk, nhưng an toàn và dễ quan sát hơn nhiều so với load third-party code trực tiếp vào Core process.

Key takeaways

• Security boundary phải được enforce trong Core, không dựa vào thiện chí của plugin.
• Lifecycle, permission, tenant context và observability là các phần của cùng một platform contract.
• Developer experience tốt chỉ bền vững khi runtime và supply chain được thiết kế an toàn từ đầu.

GitHub: https://github.com/zscontributor/z-cms
Website: https://z-cms.org