用途：面向 WordPress 插件开发的基础技能，帮助开发者按规范搭建插件结构并规避常见安全漏洞。资料标注状态为 Production Ready，最后更新 2025-11-06，无依赖，要求 WordPress 5.9+、PHP 7.4+，推荐 WordPress 6.7+、PHP 8.0+。
主要能力：
- 插件结构选择：简单函数式（少于 5 个函数的小插件）、OOP（中等规模）、PSR-4 命名空间加 Composer 自动加载（大型或现代插件）。
- 插件头：主文件必须包含头部注释，其中 Plugin Name 是唯一必填字段；Text Domain 必须与插件 slug 完全一致；每个 PHP 文件都应加 ABSPATH 检查防止直接访问。
- 安全基础：使用 4-5 字符唯一前缀（函数、类、常量、选项、瞬态、元键、全局变量）；用 current_user_can() 而非 is_admin() 做权限检查；输入用 sanitize_() 清理、输出用 esc_() 转义；表单与 AJAX 用 nonce 防 CSRF；数据库查询用 $wpdb->prepare() 配合 %s、%d、%f 占位符，LIKE 查询用 $wpdb->esc_like()。
- 生命周期：激活时注册自定义文章类型后 flush_rewrite_rules()，停用时清理临时数据，永久清理放在 uninstall.php（需检查 WP_UNINSTALL_PLUGIN）。
- 常见问题预防：资料列出 20 类问题，包括 SQL 注入、XSS、CSRF、缺失权限检查、直接文件访问、前缀冲突、重写规则未刷新、瞬态未清理、脚本全局加载、保存时未清理、LIKE 查询错误、使用 extract()、REST API 缺少 permission_callback、重复注册卸载钩子、停用时删除数据、使用废弃函数、Text Domain 不匹配、缺少插件依赖检查、自动保存触发元数据保存等。
使用方式：按资料中的快速开始流程选择结构、创建插件头、实现安全基础，再编写功能；开发时可在 wp-config.php 中开启 WP_DEBUG、WP_DEBUG_LOG、WP_DEBUG_DISPLAY 便于发现问题。
适用场景：开发或维护 WordPress 插件，尤其是需要兼顾安全与可维护性的项目。
限制：资料未提供具体安装命令、收费方式、平台支持范围或效果数据；部分条目（如第 19 项）在给定资料中被截断，未完整呈现。