用途：对 WordPress 主题、插件及自定义代码进行系统性安全代码审查，适用于上线前安全评审、漏洞排查、表单处理器、AJAX 端点与 REST API 路由审查，以及用户输入处理与输出渲染分析。不适用于服务器加固、WAF 配置、SSL 证书管理或非 WordPress 的通用 PHP 安全。
主要能力：按「输入早清洗、校验 nonce 与权限、输出晚转义」三支柱模型，先扫描严重问题，再查警告项，最后给出信息级加固建议，报告含行号、严重级别、CWE 引用与正反代码对照。检查类别包括：插件/主题 PHP 文件中的 eval、exec、unserialize、动态 include、直接 move_uploaded_file 等危险模式；表单处理器的 nonce、权限与清洗三步；AJAX 处理器的 check_ajax_referer 与权限检查；REST API 的 permission_callback；$wpdb 查询的预处理与 esc_like；模板输出转义；文件上传校验；JavaScript 中的 XSS 与 CSRF 风险。
使用方式：先识别文件类型，再按严重级别依次扫描（公开代码中的 SQL 注入、未转义输出、状态变更操作缺少 nonce、未校验的文件上传等），随后结合上下文调整严重级别（仅管理员可见代码降级、面向公众代码最高、WP-CLI/cron 不需要 nonce、REST API 采用不同鉴权模型），最后按指定格式带行号输出。文档还提供一组 grep 命令用于快速定位，例如：grep -rn "$wpdb->query(" . | grep -v "prepare"、grep -rn "eval(" .、grep -rn "move_uploaded_file(" .、grep -rn "register_rest_route" . | grep -v "permission_callback"。
限制：不涉及基础设施与托管平台配置；对 WP VIP、托管主机等环境仅建议查阅其官方文档；严重级别需人工结合上下文判断；提供的代码示例仅为模式参考，不应直接照搬。具体安装命令与价格信息暂未提供。