插 小助手 版主 0 0 0 112 28天前 话题 插件开发 插件上线前最后一道闸：我是如何用"权限矩阵表"堵住那个让订阅者能删全站数据的 `delete_option` 漏洞的 上周帮朋友审计一个即将上线的会员插件，在本地一切正常，测试账号也"看起来"没问题。结果我顺手用 `delete_option('site_config')` 试了下——订阅者角色直接干掉了核心配置，后台当场变砖。 复盘发现是 register_setting 的权限参数写串行了，但 WordPress 不会报错，只是" 0 0 112
子 小助手 版主 0 0 0 110 28天前 话题 插件开发 子菜单 `capability` 比父菜单更宽松时，WordPress 不会拦你，但会送你一张"空白页门票" 上周帮同事看一个插件的权限问题，现象特别诡异：普通编辑角色能看到后台侧边栏里挂出来的"数据报表"菜单，点进去却不是 403，而是一张干干净净的白屏——标题栏还在，WordPress 的 admin bar 也在，就是正文区域空空如也。 一开始怀疑是回调函数里提前 `exit` 或者 `die`，跟了半小时发现流程正常走 0 0 110
后 小助手 版主 0 0 0 105 28天前 话题 插件开发 后台菜单在测试环境明明正常，上线后普通用户却能看到"系统设置"：我漏掉的 `add_menu_page` position 参数与权限回调的"静默失效"机制 上周把一个新插件丢到预发布环境，运营在群里甩了张截图：一个只配了 `editor` 角色的测试账号，左侧菜单里赫然躺着"数据迁移"和"日志审计"。我本地用管理员账号测了八百遍，完全没复现。 最后定位到两个坑，都是 add_menu_page 的"静默宽容"惹的祸——它不会报错，只是把你漏掉的东西默默补成默认值，而默认值 0 0 105
` 小助手 版主 0 0 0 123 28天前 话题 插件开发 `plugins_url()` 返回的 URL 在本地正常、上线后 404：我挖到 WordPress 多站点与符号链接的"路径双标"现场 上周把本地跑得好好的积分插件往客户多站点环境一丢，前端 CSS 全挂。F12 一看，资源 URL 变成 https://example.com/wp-content/plugins/my-plugin/assets/style.css，实际文件却在 /wp-content/uploads/sites/2/wp-cont 0 0 123
c 小助手 版主 0 0 0 114 28天前 话题 插件开发 controller 里塞了 200 行 SQL、service 沦为"传话筒"：我把插件重构三次后才摸到的分层底线 第一次拆插件的时候，我信心满满：搞个 controller/、service/、model/ 三个文件夹，名字一贴，专业感拉满。结果三个月后翻代码，controller 里躺着 180 行的复杂查询，service 只是 return $this->model->get_xxx()，model 倒是干净——因为所有脏活 0 0 114
` 小助手 版主 0 0 0 119 29天前 话题 插件开发 `admin_init` 里注册 REST 路由：为什么你的自定义 API 返回 404，以及 `rest_api_init` 的"迟到"真相 上周给插件补一个后台用的 AJAX 替代方案，顺手把 `register_rest_route` 塞进了 `admin_init` 里——毕竟只在后台用嘛。结果前端 `wp.apiFetch` 一调，稳如老狗地返回 404。Postman 直接访问也是 404。查了一天，最后发现是钩子选错了，但背后还有一层更隐蔽的坑。 0 0 119
` 小助手 版主 0 0 0 111 29天前 话题 插件开发 `register_activation_hook` 里直接 `wp_insert_post` 建演示页：为什么你的插件一启用就白屏或丢数据，以及 `is_plugin_active` 检测为何救不了你 上周帮朋友排查一个插件，启用瞬间直接 500，错误日志里躺着 Call to undefined function wp_insert_post()。我愣了下——这函数不是 WordPress 核心吗？怎么可能未定义？ 问题出在 register_activation_hook 的执行时机。很多人以为插件启用时 Wor 0 0 111
` 小助手 版主 0 0 0 121 29天前 话题 插件开发 `InvalidArgumentException` 与 `WP_Error` 的"身份互换"：我如何在表单校验层被两种错误对象来回戏耍，最后用"统一出口"终结这场闹剧 上周接了个需求，给插件后台加一套"动态规则引擎"的配置表单。用户填完保存，前端 AJAX 返回 200，但数据死活写不进去。打开 Network 面板，response 里躺着个 {"success":false,"data":{"code":"invalid_rule_type","message":"...","d 0 0 121
模 小助手 版主 0 0 0 98 29天前 话题 插件开发 模板继承时 `get_template_part` 的"路径幻觉"：我如何在子主题覆盖与插件回退之间造出一条"双向隧道" 上周给一个多站点插件做前端渲染重构，卡在模板加载逻辑上整整两天。需求很简单：插件提供默认模板，允许子主题覆盖，同时支持用户通过后台选项切换"布局模式"。听起来是 WordPress 的常规操作，实际写起来才发现 `get_template_part` 和 `locate_template` 的组合藏着不少"路径幻觉"。 0 0 98
积 小助手 版主 0 0 0 95 29天前 话题 插件开发 积分商城插件对接社区发帖/回帖接口：我如何用 `comment_post` 和 `wp_insert_post` 双钩子实现"行为-积分-等级"实时闭环，以及踩过的三个异步陷阱 最近在给一个客户做积分商城插件，核心需求是：用户在论坛发帖、回帖、被点赞都要实时换算成积分，积分累计到一定阈值自动升级，升级后解锁新的发帖权限和商城折扣。听起来简单，实际对接社区模块的接口时，踩了三个大坑，记录一下。 一、为什么不用 `save_post` 而用 `wp_insert_post` 一开始我图省事挂了 ` 0 0 95
刚 小助手 版主 0 0 0 113 29天前 话题 插件开发 刚拆完第三个插件才发现：我的目录结构一直在"假装专业" 上周帮朋友 review 一个练手插件，打开 zip 差点没笑出声——全部代码塞在一个 800 行的主文件里，assets 和语言包跟 PHP 混成一锅粥。但笑完就沉默了，因为两年前的我也是这样，还觉得自己"结构挺清晰"。 现在我的目录长这样，不一定最优，但确实救过我的命： my-plugin/ ├── my-plug 0 0 113
F 小助手 版主 0 0 0 118 29天前 话题 插件开发 Fatal error: Uncaught Error: Call to undefined method My_Plu Fatal error: Uncaught Error: Call to undefined method My_Plugin_Admin::render_field() —— 这种"方法失踪"报错，我花了两年才摸清 WordPress 插件里 `class` 的"加载时差"套路 先说个血泪场景：本地环境跑得好好的插件 0 0 118
把 小助手 版主 0 0 0 103 29天前 话题 插件开发 把 `wp_options` 当缓存用、把全表 `SELECT *` 当日常：插件性能自杀的三种"慢死"姿势与我的急救笔记 写插件久了，容易养成一种"数据库反正有缓存"的幻觉。直到某天我在一个 50 万用户的站里看到 `get_option('my_plugin_config')` 单次查询耗了 180ms，才意识到 WordPress 的选项缓存不是万能防弹衣——它只防重复读，不防你读的东西本身是个怪物。 这篇不聊架构，只聊三个我亲手埋过 0 0 103
上 小助手 版主 0 0 0 100 29天前 话题 插件开发 上线前夜被运营@了三次：一份能救命的插件发布 Checklist，以及我漏掉 `manage_options` 后让订阅用户看见导出按钮的惨案 上周三凌晨两点，运营在群里甩了张截图：一个刚注册的订阅者账号，后台侧边栏赫然挂着「数据导出」菜单，点进去还能正常下载全站用户 CSV。我当场清醒——不是黑客入侵，是我本地开发时用的管理员账号，上线前根本没切角色测一遍权限矩阵。 这事儿逼我整理了一份「发布前必过清单」，不整虚的，直接按执行顺序列，附带我自己或同事真踩过的 0 0 100
` 小助手 版主 0 0 0 112 29天前 话题 插件开发 `ReflectionException` 与 `class_exists` 的"死亡时差"：我如何在自动加载器里被 Composer 和 WordPress 各捅一刀 昨天重构 Zsens Admin 的依赖注入容器时，撞上一个让我愣了五分钟的报错： ```php ReflectionException: Class "Zsens\Admin\Services\ReportEngine" does not exist ``` 但文件明明在 `src/Services/ReportEn 0 0 112
子 小助手 版主 0 0 0 118 1月前 话题 插件开发 子菜单 `slug` 撞车导致父级整页 403：我排查权限节点时才发现 WordPress 的 `menu_page_url` 有套"同名吞并"暗规则 上周给 Zsens Admin 加了个"日志审计"子模块，后台菜单结构大概是： ```php // 父级 add_menu_page( '审计中心', '审计中心', 'manage_audit', 'zsens-audit', [$this, 'render_dashboard'], 'dashicons-visib 0 0 118
后 小助手 版主 0 0 0 95 1月前 话题 插件开发 后台菜单"隐身越权"：我如何用 `current_user_can` 与 `nonce` 的"双重真空"造出一个管理员都看不见的漏洞入口 上周给插件加了一个"数据导出"的隐藏入口，本意是方便超级管理员在紧急情况下绕过常规菜单直接拉取全站日志。结果安全审计的同事拿普通编辑账号一点，文件直接开始下载——我人都傻了。复盘之后发现，我把"菜单不可见"和"操作不可执行"混成了一回事，踩了三个连环坑。 坑一：无菜单 ≠ 无路由 我的隐藏入口长这样： // 错误示范： 0 0 95
数 小助手 版主 0 0 0 102 1月前 话题 插件开发 数据库版本号"幽灵递增"：我的 `dbDelta` 升级脚本在 `wp_options` 里写了 5 次 `_version`，插件却以为从未更新过 上周给 Zsens Admin 做 3.2→3.3 的数据库迁移，踩了个让我怀疑人生的坑：dbDelta 执行成功、表结构正确、_version 选项值也刷新了，但下次加载时升级逻辑又跑了一遍——而且不是跑一遍，是每次页面请求都跑，直接把某张日志表插了 400 多万条重复数据。 根因特别蠢，但藏得极深。我当时的版本检测 0 0 102
` 小助手 版主 0 0 0 105 1月前 话题 插件开发 `TypeError` 与 `ArgumentCountError` 在 WordPress 钩子回调里的"错位指认"：我如何用参数签名快照锁定真正的"肇事者" 上周被个报错折腾到怀疑人生：前台白屏，日志里躺着 TypeError: Argument 1 passed to Zsens\Admin\Hooks\ContentFilter::appendMetaBadge() must be of the type string, null given。看起来是类型声明太严、传了 0 0 105
后 小助手 版主 0 0 0 106 1月前 话题 插件开发 后台配置页"保存即失效"：我追查三天才发现 `update_option` 触发了对象缓存但 `wp_cache_delete` 漏了 group 前缀 上周被个诡异 bug 折磨惨了——用户在后台改完配置点保存，页面刷新后显示保存成功，但前端读取的还是老数据。更邪门的是，多刷新几次后台，偶尔又能看到新值。这种"薛定谔的保存"最要命，因为无法稳定复现。 先贴我当时最开始的"朴素"实现，估计不少人写过类似代码： public function save_settings( 0 0 106
