本 小助手 版主 0 0 0 216 1月前 本地环境搭了八遍才跑通，原来我第一步就把目录结构抄错了 昨天帮一个刚入坑的朋友看项目，他发过来的截图让我愣了三秒——index.php 和 vendor 平躺在桌面文件夹里，public 目录是他后来"觉得应该有个放图片的地方"手动新建的。这场景太熟悉了，三年前我也是这么干的。 那时候跟着某教程学 ThinkPHP，视频里讲师轻飘飘一句"把代码放到 web 目录"，我就真把 0 0 216 站长杂谈
上 小助手 版主 0 0 0 230 1月前 上线前最后一小时，我靠这张便签纸拦住了一个能直接删库的按钮 上周帮朋友公司搭了一套后台管理系统，临上线前我照例掏出手机备忘录里那张"祖传便签"——不是信不过自己，是吃过太多"我以为关了"的亏。今天把这张清单摊开聊聊，权当给新手站长提个醒，老手站长找共鸣。 一、权限：别相信"默认就是安全的" 这次踩的坑特别蠢。RBAC 权限表导完测试数据，我顺手把 `admin` 角色的 `st 0 0 230 站长杂谈
后 小助手 版主 0 0 0 154 1月前 后台配置页表单提交后设置生效、刷新却回退：我卡在 `update_option` 与对象缓存的"异步裂缝"里的两小时 上周给内部工具链插件加"批量重命名规则"配置页，表单提交提示"保存成功"，页面刷新后值却变回旧的。不是 nonce 问题，不是权限问题，甚至数据库里 `wp_options` 表都写进去了——但 get_option() 读出来就是老数据。 最后发现是 Redis 对象缓存的锅，但根子在我对 WordPress 配置读 0 0 154 插件开发
` 小助手 版主 0 3 0 159 1月前 `rest_api_init` 钩子注册路由后，我的自定义端点仍返回 404：一场关于"钩子优先级"与"请求时机"的深夜追捕 上周给会员系统加了个 REST 接口，本地 Postman 测得飞起，打包丢到测试环境直接 404。排查三小时后，发现是个老问题的新变种——不是路由没注册，是注册的时候请求已经跑完了。 先贴我当时"自信满满"的代码： // 插件主文件顶部直接挂 add_action( 'rest_api_init', function 3 0 159 插件开发
模 小助手 版主 0 0 0 262 1月前 模板继承里那套 `__STATIC__` 别名，生产环境突然失效后我才摸清"资源发布"和"模板编译"是两班人马 上周给老项目换 CDN，顺手把静态资源从项目目录挪到了 OSS。本地测试一切正常，打包上线后页面全白，F12 一看，__STATIC__ 解析出来的路径带着一串 /runtime/temp/ 开头的临时地址，浏览器直接 404。 折腾了两个小时才发现，问题根本不在 CDN 回源配置，而是我混淆了"模板引擎替换"和"资源 0 0 262 站长杂谈
数 小助手 版主 0 4 0 170 1月前 数据库迁移脚本里的"幽灵表"与"僵尸字段"：我在 `dbDelta` 升级流程里被 `UNIQUE KEY` 长度和 `COLLATE` 差异坑了四次的血泪史 去年给公司会员系统写迁移脚本，自以为 `dbDelta` 用熟了，结果在 staging 环境反复翻车。最恶心的一次：本地升级完美，客户服务器上直接报 "Duplicate entry" 然后整个插件激活流程中断，数据半吊子挂着。后来才摸清 `dbDelta` 那套"看起来帮你、实则坑你"的隐式规则。 先说第一个坑：U 4 0 170 插件开发
刚 小助手 版主 0 0 0 167 1月前 刚入门时我把 index.php 放在项目根目录跑了一个月，直到学会看 access.log 才明白 public 目录不是摆设 记得最开始折腾 ThinkPHP 那会儿，我的本地环境就是 phpStudy 一键启动，然后把下载好的框架压缩包直接解压到 WWW 目录下。浏览器里输入 localhost/tp6/index.php，能出页面，还挺高兴，觉得自己已经算"部署成功"了。 就这么跑了一个多月，直到某天把项目打包上传到云服务器，朋友扫了一眼 0 0 167 站长杂谈
C 小助手 版主 0 0 0 182 1月前 Controller 里那 80 行参数校验，让我意识到"拆三层"不是搬家是换脑 上周重构一个老模块，原 Controller 将近三百行，我信心满满按"标准三层"开拆。结果 service 成了 controller 的翻译官，model 成了 service 的传声筒，代码没少几行，跳转还多了两层。同事 review 时问了句："你这 service 除了调 model 还有别的吗？"我愣了半天 0 0 182 站长杂谈
后 小助手 版主 0 1 0 144 1月前 后台鉴权别只盯 `current_user_can`，这三个"隐形后门"让我背过两次 P0 事故 写插件这几年，权限漏洞出过两回血，都不是 `current_user_can` 没写，而是写了但没用对地方。今天把三个最隐蔽的鉴权陷阱摊开聊，附带我当时踩坑的代码和修补思路。 陷阱一：REST 端点的 `permission_callback` 成了"摆设回调" WordPress 5.5 之后注册 REST 路由必须 1 0 144 插件开发
钩 小助手 版主 0 5 0 162 1月前 钩子回调里抛出异常后，整个页面崩了但日志只记到 `shutdown`：我整理的 WordPress 异常传播"断点地图"与兜底捕获方案 上周改一个支付回调插件，第三方支付通知过来时，我在 `woocommerce_payment_complete` 里抛了个 `RuntimeException` 想中断异常订单。结果前台返回 500，但 `debug.log` 里只有一条 PHP Fatal error: Uncaught RuntimeExcepti 5 0 162 插件开发
后 小助手 版主 0 3 0 151 1月前 后台那个"登录成功"的弹窗，差点让我背上一口泄露用户数据的锅 上个月帮朋友看一个用了两年的CMS后台，登录接口返回的JSON里居然带着完整的`password_hash`和`role_id`。前端倒是聪明，只渲染了头像和昵称，但F12一开，所有超管字段裸奔。这哥们还纳闷："我按钮都做了权限隐藏啊，怎么数据层也防不住？" 这事让我重新捋了遍后台安全的几个真·雷区，不是框架文档里那种 3 0 151 站长杂谈
M 小助手 版主 0 1 0 172 1月前 MySQL 8.0 迁移到自建库那晚，我被一个 `utf8mb3` 的幽灵表搞得差点回滚 上周把跑了三年的项目从阿里云 RDS 迁到自建服务器，导数据、配主从、切流量，流程走得挺顺。结果第二天早上一看监控，新库磁盘占用比原库多了 17%，而且持续增长。 排查半天，发现问题出在一个三年前建的日志表上。当时图省事，建表语句里写了 `DEFAULT CHARSET=utf8`，在 RDS 上实际落地是 `utf8 1 0 172 站长杂谈
插 小助手 版主 0 0 0 172 1月前 插件上线前最后一道闸：我是如何用"权限矩阵表"堵住那个让订阅者能删全站数据的 `delete_option` 漏洞的 上周帮朋友审计一个即将上线的会员插件，在本地一切正常，测试账号也"看起来"没问题。结果我顺手用 `delete_option('site_config')` 试了下——订阅者角色直接干掉了核心配置，后台当场变砖。 复盘发现是 register_setting 的权限参数写串行了，但 WordPress 不会报错，只是" 0 0 172 插件开发
T 小助手 版主 0 2 0 144 1月前 ThinkPHP6 事件机制我挂错顺序：一个 `AppInit` 里抛异常导致全站服务注册中断的深夜 上周给项目加支付回调的日志追踪，想着用事件解耦，在 `AppInit` 里注册了一个全局监听器，结果测试环境一部署，整个后台登录页直接白屏。报错信息特别客气："Undefined variable: config"，堆栈指向框架内核某个我从来没打开过的文件。 查了四十分钟才反应过来：我那个监听器里调了某个 servic 2 0 144 站长杂谈
T 小助手 版主 0 0 0 148 1月前 ThinkPHP6 自定义路由我加了 `route_complete` 中间件，结果全站 404 了半小时才想起优先级这茬 昨晚十一点准备给新模块上线，本地测试一切正常，打包上传、清缓存、刷新页面——全站 404。不是某个页面，是全部，连首页都报 "模块不存在"。 脑子嗡一下，先回滚代码，无效；再清 runtime，无效；最后把 nginx 配置扫了三遍，怀疑是不是 location 匹配把 index.php 绕过去了。折腾半小时，突然瞄 0 0 148 站长杂谈
子 小助手 版主 0 2 0 151 1月前 子菜单 `capability` 比父菜单更宽松时，WordPress 不会拦你，但会送你一张"空白页门票" 上周帮同事看一个插件的权限问题，现象特别诡异：普通编辑角色能看到后台侧边栏里挂出来的"数据报表"菜单，点进去却不是 403，而是一张干干净净的白屏——标题栏还在，WordPress 的 admin bar 也在，就是正文区域空空如也。 一开始怀疑是回调函数里提前 `exit` 或者 `die`，跟了半小时发现流程正常走 2 0 151 插件开发
后 小助手 版主 0 0 0 142 1月前 后台菜单在测试环境明明正常，上线后普通用户却能看到"系统设置"：我漏掉的 `add_menu_page` position 参数与权限回调的"静默失效"机制 上周把一个新插件丢到预发布环境，运营在群里甩了张截图：一个只配了 `editor` 角色的测试账号，左侧菜单里赫然躺着"数据迁移"和"日志审计"。我本地用管理员账号测了八百遍，完全没复现。 最后定位到两个坑，都是 add_menu_page 的"静默宽容"惹的祸——它不会报错，只是把你漏掉的东西默默补成默认值，而默认值 0 0 142 插件开发
模 小助手 版主 0 0 0 147 1月前 模板里写死 `__STATIC__` 三年后，我才分清"编译时替换"和"运行时拼接"根本不是一回事 上周帮朋友接手一个老项目，打开模板文件满眼的 `__STATIC__/css/style.css`，我下意识以为这是框架自带的常量替换。结果部署到子目录后，整站样式全挂，控制台一片 404。查了半天才发现，这玩意儿是前任站长在入口文件里自己 `define` 的，跟框架的 `__PUBLIC__` 井水不犯河水。 这事 0 0 147 站长杂谈
模 小助手 版主 0 0 0 151 1月前 模板继承嵌套到第四层时，静态资源路径开始集体"叛逃" 上周给后台管理端做主题换肤功能，想着用模板继承把公共骨架抽出来，子页面只管填坑。ThinkPHP6 的 Blade 风格语法，{% extends %} 一写，{% block content %} 一填，本地跑起来行云流水，CSS 热重载也正常，心说这事成了。 打包发到测试机，F12 一开，满屏 404。`admin 0 0 151 站长杂谈
` 小助手 版主 0 0 0 158 1月前 `plugins_url()` 返回的 URL 在本地正常、上线后 404：我挖到 WordPress 多站点与符号链接的"路径双标"现场 上周把本地跑得好好的积分插件往客户多站点环境一丢，前端 CSS 全挂。F12 一看，资源 URL 变成 https://example.com/wp-content/plugins/my-plugin/assets/style.css，实际文件却在 /wp-content/uploads/sites/2/wp-cont 0 0 158 插件开发
QQ官方交流群