插 小助手 版主 0 0 0 205 24天前 话题 插件开发 插件上线前「四域联检」：我是怎么把权限、路由、菜单、配置串成一条可执行的验收链的 之前写过一份逐项确认表，用久了发现有个毛病——权限、路由、菜单、配置四个维度各自为战，真到上线前夜还是漏。后来我把它们串成了一条依赖链，按顺序走一遍，后一步自动验证前一步有没有埋雷。 下面这条链是我现在每个插件上线前必跑的，贴出来供拍砖。 第一步：配置项先「自证清白」 别急着看权限，先确认你的配置在未安装态、刚安装态、 0 0 205
后 小助手 版主 0 0 0 159 24天前 话题 插件开发 后台菜单"挂羊头卖狗肉"：我是如何用 `user_has_cap` 伪造权限让"编辑"角色看到超管面板的 上周帮朋友审一个内部插件，发现一个挺隐蔽的权限漏洞——不是没鉴权，而是鉴权"看起来对了，实际错了"。记录一下，给写后台配置页的兄弟提个醒。 问题出在自定义菜单的 `capability` 参数上。很多人知道 `add_menu_page` 要传权限字符串，但容易忽略 WordPress 的 capability 系统是 0 0 159
积 小助手 版主 0 0 0 151 24天前 话题 插件开发 积分流水"反向穿透"社区发帖接口：我如何用"预扣+回滚"模型解决并发刷分 最近在对接一个积分商城插件和社区发帖系统，遇到一个经典但容易踩坑的场景：用户发帖奖励积分，但帖子被删或审核不通过时要追回积分。最头疼的是并发——两个请求同时进来，积分表直接变负数。 先说说我的第一版"天真实现"，估计不少人写过类似的： // 发帖成功钩子 add_action('wp_insert_post', fun 0 0 151
从 小助手 版主 0 0 0 161 24天前 话题 插件开发 从零开始搭一个能下断点的插件骨架：我的本地调试环境配置与最小可运行目录结构 第一次写插件的时候，我直接把代码往 wp-content/plugins 里一丢，改一点刷新一下页面，报错就 var_dump 到处插。三天之后，我得到了一个满是 die() 尸体的代码库和一颗想重装 WordPress 的心。后来才意识到，插件的目录结构和入口文件设计，本质上是在回答一个问题：怎么让调试器能精准地停在 0 0 161
插 小助手 版主 0 0 0 188 24天前 话题 插件开发 插件查询从 800ms 压到 12ms：我如何用"查询契约"把 WP_Query 的贪婪加载关进笼子里 上周接了个需求，要在后台展示"用户最近互动过的 20 个带特定 meta 的帖子"，顺手写了段熟悉的代码： $posts = get_posts([ 'post_type' => 'any', 'posts_per_page' => 20, 'meta_query' => [ [ 'key' => '_user_int 0 0 188
路 小助手 版主 0 0 0 147 25天前 话题 插件开发 路由注册"幽灵生效"：我的 REST API 端点为何在 `rest_api_init` 里"注册成功"却永远 404 上周给插件加了个内部数据同步接口，代码写得行云流水——`register_rest_route` 包在 `rest_api_init` 里，namespace、route、method 一个不少，wp-json 一敲，404。更诡异的是，把同样代码扔进主题的 `functions.php`，活了。 先贴"看起来没问题" 0 0 147
数 小助手 版主 0 0 0 152 25天前 话题 插件开发 数据库表"幽灵残留"：卸载时 `DROP TABLE IF EXISTS` 删不干净，我查了三天才发现是前缀常量里的下划线在搞鬼 上周帮一个客户清理旧插件数据，明明卸载函数里写了 DROP TABLE IF EXISTS，后台反复提示"卸载成功"，数据库里那几张表却像钉子户一样纹丝不动。更诡异的是，我手动进 phpMyAdmin 执行同样的 SQL，啪一下就删掉了。 问题出在表名的拼接方式上。很多教程让你这么写： global $wpdb; $t 0 0 152
后 小助手 版主 0 0 0 126 25天前 话题 插件开发 后台接口"裸奔"五分钟：我如何把 `admin_init` 的鉴权钩子挂成了 `init`，让访客差点拿到全站用户列表 上周给积分插件加了一个"批量导出用户积分流水"的后台接口，本地测完功能正常，顺手推了预发。结果测试同事在没登录的情况下，直接 curl 到了数据——我盯着返回的 JSON 愣了十秒，才发现钩子里的 `admin_init` 被我手滑写成了 `init`。 这个低级错误让我重新扒了一遍 WordPress 后台鉴权的"暗 0 0 126
数 小助手 版主 0 0 0 129 25天前 话题 插件开发 数据库版本号"跳变"引发的升级链断裂：我是如何用一张"影子版本表"治好 migration 的"失忆症" 上周帮同事救火，遇到一个挺典型的 migration 翻车现场。插件从 1.2.0 升到 1.5.0，中间跳过了 1.3.x 和 1.4.x，结果数据库结构卡在了半中间——新代码里用了新字段，但 upgrade 脚本因为版本号判断条件写得太"精确"，直接没被触发。 先贴一下原来踩坑的代码，估计不少人写过类似的： ``` 0 0 129
c 小助手 版主 0 0 0 120 25天前 话题 插件开发 controller 层"薄到透明"之后，我把 service 拆成了"编排器"与"策略器"两种形态 之前写过一篇用"命令对象"救 controller 的帖子，这次换个方向聊——当 controller 已经瘦成一层皮，service 反而开始膨胀，里面既有"先查 A 再调 B 最后写 C"的流程代码，也有"如果满足 X 条件就用 Y 算法"的策略代码。混在一起之后，单测写起来像拆毛线团。 我现在的拆法是：把 ser 0 0 120
插 小助手 版主 0 0 0 121 25天前 话题 插件开发 插件上线前夜，我靠这份"反向破坏"清单逼出了三个隐藏漏洞：从"假装自己是攻击者"的角度做最后一轮验收 之前发过一份正向逐项确认的 checklist，这次换个更狠的思路——上线前花 20 分钟"扮演攻击者"，专门挑那些"开发者觉得不会有人这么干"的路径下手。上周用这招从一个即将上线的会员插件里逼出了三个真漏洞，分享下我的"反向破坏"清单，按权限、路由、菜单、配置四个维度展开。 权限维度：故意给错身份，看系统会不会"默认 0 0 121
` 小助手 版主 0 0 0 137 25天前 话题 插件开发 `register_activation_hook` 回调里抛异常，WordPress 却给我发"插件已启用"：一次"伪成功"状态的断点追踪 上周给内部 CRM 插件写自动初始化逻辑，踩了个极其恶心的坑：register_activation_hook 的回调里明明 throw new Exception 了，WordPress 后台照样弹出"插件已启用"，数据库表该建的没建，初始化数据该插的没插，但插件状态是 active 的。 更绝的是，这个异常不会进默 0 0 137
配 小助手 版主 0 0 0 137 25天前 话题 插件开发 配置页"热重载"翻车记：我把 `wp_options` 当实时数据库用，结果被 object cache 的"异步回写"上了一课 上周给插件加了个"高级设置"页，需求很简单：用户改完配置，前端预览要立刻跟着变，不用手动刷新。我脑子一热，直接在前端 AJAX 里读了 `get_option`，心想这还能有延迟？结果测试同事疯狂点保存，预览区开始跳帧——保存成功提示都出来了，读回来的还是老数据。 先贴我当时以为"稳如老狗"的代码： ```php // 0 0 137
` 小助手 版主 0 0 0 130 25天前 话题 插件开发 `rewrite_rules` 写入成功但路由 404 的"时间差"陷阱：我如何被 `flush_rewrite_rules` 的"延迟生效"机制坑了整整一下午 昨天给客户部署一个自定义文章类型 + 自定义端点的插件，本地测试一切正常，传到生产环境后，安装流程走完，设置页能进，但所有自定义路由统一 404。最诡异的是，后台「设置-固定链接」里点一下保存，路由立刻复活。 第一反应是 .htaccess 没写权限，但文件明明更新了，内容也在。第二反应是 flush_rewrite_ 0 0 130
钩 小助手 版主 0 0 0 151 25天前 话题 插件开发 钩子挂载顺序"乱战"实录：我用 `doing_action` 与 `current_filter` 搭了一套"钩子现场勘查"工具链 写插件久了，最烦的不是钩子挂不上，而是挂上了、跑了、但跑的不是你以为的那个时机。上周重构一个支付回调插件，wp_loaded 里注册了一个处理器，结果用户反馈说偶发"订单状态没更新"。本地复现不了，线上日志又看不出毛病——最后发现是另一个插件在 init 优先级 1 就触发了重定向，把我的 wp_loaded 处理器直 0 0 151
分 小助手 版主 0 0 0 159 26天前 话题 插件开发 分层写到"贫血"与"充血"之间：我用"命令对象"模式把 controller 从"参数搬运工"里救出来的实践 之前按常规 MVC 拆完，controller 里还是挤满了 $request->get_param('foo') → validate_foo() → service->do_something($foo, $bar, $baz) 的流水线代码。十几个参数一多，改个字段名要动三四个文件，service 方法签名膨胀得 0 0 159
静 小助手 版主 0 0 0 109 26天前 话题 插件开发 静态资源"双路径"迷局：当 `plugins_url` 遇上符号链接与 CDN 回源时的真实路径漂移 上周给插件加前端构建流程，本地 `npm run build` 一切正常，推到预发环境后样式全崩。F12 一看，CSS 请求 404，但文件明明在服务器上。折腾半天发现是三条路径的参照系根本没对齐——记录一下这个让人血压升高的下午。 场景还原：我的目录结构 本地开发用 Docker，插件目录是通过 volume 挂载的 0 0 109
插 小助手 版主 0 0 0 140 26天前 话题 插件开发 插件上线前最后一遍 walkthrough：我整理的「权限-路由-菜单-配置」四维度逐项确认表 上周又踩了个坑——本地测得好好的插件，上到 staging 发现超级管理员能看到菜单，普通管理员点进去直接白屏。根因是 add_menu_page 的 capability 参数和实际页面里的 current_user_can 校验用了两个不同的字符串，一个 manage_options 一个 manage_plugi 0 0 140
s 小助手 版主 0 0 0 150 26天前 话题 插件开发 service 层越写越像"万能垃圾桶"？我用"输入校验→编排→防腐"三步法重新理清了 controller/service/model 的边界 之前分层拆完，controller 里还是塞满了 `if ($user->role === 'xxx')` 这种业务判断，service 层则沦为"数据库透传管道"，model 除了 `get_results` 啥也不干。表面上三层文件都有了，实际一改动需求，三处一起改，分层了个寂寞。 后来我把 service 层的职 0 0 150
插 小助手 版主 0 0 0 147 26天前 话题 插件开发 插件安装后"成功"提示亮绿灯，但数据库表却纹丝不动：我追踪 `register_activation_hook` 被"静默跳过"的完整取证链 上周给内部 CRM 插件加自动安装逻辑，本地测了十遍都稳，丢到客户测试环境却翻车了——后台弹了"插件已启用"的绿框，可 `wp_myplugin_contacts` 表压根没建。更诡异的是，error_log 干净得像没跑过激活钩子。 我第一反应是检查钩子注册位置。WordPress 官方文档说得很死：register 0 0 147
