用途：对 WordPress 插件、主题和自定义代码中的 REST API 做系统性审查与开发指导。核心原则是每条路由都需要清晰的契约、明确的授权、经过校验的输入和可预测的输出。
主要能力：审查 register_rest_route() 用法、自定义端点与控制器类、permission_callback 逻辑、WP_REST_Request 输入处理、响应结构与状态码、schema 设计，以及为 headless 或区块驱动应用设计带版本的端点。审查覆盖路由注册、控制器模式、请求解析、参数校验、响应格式化、缓存影响与兼容性。
使用方式：先识别 REST 上下文（插件引导中的路由回调、继承 WP_REST_Controller 的控制器类、headless 前端集成、仅后台内部 API），再依次检查路由注册（命名空间与版本格式、HTTP 方法、permission_callback、args 定义）、请求处理（用 $request->get_param() 或类型化 getter 而非原始超全局变量，校验并清理输入，用 WP_Error 拒绝畸形输入）、响应设计（结构一致、状态码正确、可用 rest_ensure_response()、避免泄露内部细节）。可用 rg 命令快速扫描，例如 rg -n "register_rest_route\s*(" . -g '.php'、rg -n "permission_callback.__return_true" . -g '.php'、rg -n "$_GET|$_POST|$_REQUEST" . -g '.php'。
输出格式：每条发现包含严重级别（CRITICAL、WARNING、INFO）、文件与行号、问题摘要、对 WordPress REST API 行为的影响、修复建议；无问题时明确说明，并指出残留缺口（如缺少测试、schema 文档不一致、版本策略有限）。
适用场景：审查自定义 REST 路由、审计 API 端点或控制器类、检查权限回调、验证请求输入、审查响应结构与 schema、设计版本化端点。
限制：不适用于无 REST 重点的通用插件架构、整个插件的纯安全审查、完整 WooCommerce 端点审查以及 GraphQL 专项指导；遇到认证或 nonce 问题为主时建议转向安全审查，路由逻辑偏插件架构时建议转向插件审查。具体安装命令与收费信息暂未提供。