用途：wp-guard 用于在 WordPress 代码交付前做守卫式审查，针对 AI 代理生成或修改的插件、主题与区块代码，重点拦截安全漏洞、破坏翻译和性能陷阱。
主要能力：安全规则（输出转义、请求数据先 wp_unslash 再按类型清理、状态变更同时校验能力与 nonce、含变量的查询必须用 $wpdb->prepare()）；核心 API 纪律（用 wp_remote_get()/wp_remote_post() 而非 curl、用 wp_enqueue_script()/wp_enqueue_style() 而非直接输出标签、用 wp_safe_redirect() 加 exit、用 WP_Filesystem，避免重复造轮子）；验证钩子与函数在受支持版本中存在；公共名称统一前缀或命名空间；ABSPATH 直接访问保护；国际化（正确包装函数、字面量文本域、占位符注释、复数用 _n()、日期数字用 date_i18n()/wp_date() 与 number_format_i18n()）；性能（禁用 posts_per_page => -1 与 query_posts()，按需用 fields => ids、no_found_rows，缓存耗时操作，autoload => false，按需入队资源）。
使用方式：守卫模式为推荐用法，在代码生成或编辑后对差异或目标文件应用规则并跑自检，修复后再展示；实时模式在写代码前由用户显式调用，边写边应用；审查模式针对审查或审计请求，按 references/review-checklist.md 输出结构化报告，除非被要求否则不改代码。使用前先读项目指令（CLAUDE.md、AGENTS.md）、phpcs.xml/WPCS 配置与 composer.json，项目约定优先；识别既有前缀与最低 WP/PHP 版本；检测 WooCommerce、WPML/Polylang/多站点等上下文。报告按文件分组、安全问题优先，格式为规则编号违规、位置、简述、风险与一句话修复。
适用场景与限制：适用于 WordPress 代码交付前的安全与质量守卫。它不运行 PHPCS、PHPStan 或 Plugin Check，也不决定插件架构或业务逻辑，不替代 clean-code-guard 或 test-guard。缺失信息暂未提供。