WordPress 插件安全开发助手 Skill 技能

技能简介

automattic-wp-plugin-development（WordPress 插件安全开发助手） 把插件开发从"想到哪写到哪"变成一条结构化流水线：从插件入口识别、架构与引导设计，到激活/卸载生命周期、安全护栏、测试与发布准备，每个环节都有明确的检查清单。它特别强调 WordPress 插件最容易出问题的部分——生命周期缺陷、数据表迁移、权限与输出转义——在写代码之前就把坑标出来。技能由 Automattic 官方仓库维护，Skillstore 质量评分 81 分（silver 档），riskLevel 为 safe，MIT 许可，已完成安全审计，浏览量 198、下载 16 次。

核心能力

• 入口定位：扫描 PHP 插件头注释，快速找到插件入口与元信息。
• 架构引导：规划插件结构、引导文件（bootstrap）、钩子注册顺序与仅后台加载逻辑。
• 生命周期覆盖：激活、停用、卸载、数据库迁移、rewrite 规则的注册与清理全流程。
• 安全护栏：nonce 校验、capability 权限检查、输入消毒、输出转义、预处理语句五大防线。
• 设置与数据规划：设置项存储、定时任务、表结构升级、手动触发器的设计建议。
• 发布检查：激活表现、设置保存、卸载清理、lint、测试、资源构建与包内容的交付前核对。

安装配置

1. 执行 npx skillstore add automattic/wp-plugin-development 完成安装。
2. 适用工具为 Claude、Codex、Claude Code，建议在插件仓库目录内调用。
3. 前置条件：本地具备 WordPress 开发环境（或可运行 WP-CLI / 测试套件），便于落实技能给出的检查项。
4. 技能涉及外部命令与文件系统操作，建议在版本控制下工作，改动可回滚。

使用步骤

1. 新建插件：让 Agent 设计可预期的引导结构、注册钩子、添加设置页，并先建立安全检查清单再动手写功能。
2. 审计存量插件：贴入或指向现有插件，请它审查请求处理、权限、nonce、输出转义、SQL 查询、定时任务与卸载逻辑。
3. 实现生命周期：按清单补齐激活/停用/卸载钩子、迁移与 rewrite 注册清理。
4. 交付前检查：执行激活表现、设置、卸载清理、迁移、测试、lint、资源与打包内容的核对。
5. 修复与回归：根据输出的问题列表逐项修复，在测试环境回归后再合入。

适用场景

• 从零开发插件：需要规范骨架与安全基线的新插件项目。
• 存量插件加固：对权限、SQL、转义做一次系统性安全复查。
• 版本发布：上线前的生命周期与打包完整性核对。
• 团队协作：给 AI 辅助编码统一插件结构与评审口径。
• 遗留项目接手：新人快速理解插件架构与潜在风险点。

适用人群

WordPress 插件开发者、用 Claude Code 等 Agent 做二次开发的全栈工程师、需要对插件做安全与质量把关的技术负责人，以及维护企业内部 WP 定制功能的运维开发人员。

工作原理

技能以"清单驱动"方式工作：先扫描代码定位插件入口与现有钩子，再对照 WordPress 的生命周期模型和安全模型逐项比对，输出缺口清单与整改顺序。安全维度围绕 nonce、capability、消毒、转义、预处理语句五条防线展开；发布维度则把激活、设置、卸载、迁移、测试、lint、资源构建串成一条验证链。它提供的是结构化流程与检查点，具体代码仍由 Agent 在你的仓库中实现，并由你在测试环境验证。

官方链接

• 技能页面：https://skillstore.io/skills/automattic-wp-plugin-development
• 源码仓库：https://github.com/Automattic/agent-skills/tree/trunk/skills/wp-plugin-development
• 安装命令：npx skillstore add automattic/wp-plugin-development