wp-plugin-review

wp-plugin-review 是一个 WordPress 插件审查技能，面向需要对插件做系统性质量与安全评估的开发者。

用途：对上传的 WordPress 插件（zip 或文件夹）进行安全、编码规范、仓库合规、单元测试与可访问性审查，输出可执行的 Markdown 报告。

主要能力：

1. 自动化分析：运行 PHPCS（WordPress 与 WordPress-Extra 标准）、PHPStan（level=5）和 PHPUnit（如存在测试）。
2. 人工代码审查：覆盖安全（输入净化、输出转义、SQL 注入防护、nonce 验证、权限检查、文件操作、CSRF、直接访问防护、安全 API 调用）、WPCS（命名、文件组织、钩子、脚本样式入队、国际化、PHP 7.4+ 兼容、WP API 使用、不打包核心库）、仓库指南（readme.txt、插件头、许可证、无跟踪/回传、无混淆代码、Stable Tag、Tested Up To）、单元测试覆盖（测试目录、质量、关键函数、WP 测试框架、CI 配置）与可访问性（ARIA、键盘导航、对比度、屏幕阅读器、表单标签、焦点管理、语义 HTML）。
3. 报告生成：按严重级别（🔴 CRITICAL、🟠 HIGH、🟡 MEDIUM、🟢 LOW、✅ PASS）列出发现，附具体文件名、行号与前后对比代码修复建议，按类别评分并给出满分 100 的总分。

使用方式：按工作流执行——先运行 scripts/setup_tools.sh 安装 PHPCS、WPCS、PHPStan、PHPUnit；从 /mnt/user-data/uploads/ 定位插件并解压/复制到 /home/claude/plugin-under-review/，识别含 Plugin Name 头的主文件；再运行自动化命令，人工审查前先阅读 references/security-checklist.md 与 references/repo-guidelines-checklist.md；最后按 references/report-template.md 生成报告，保存到 /mnt/user-data/outputs/[plugin-name]-review-report.md。若无单元测试，会额外提供示例测试文件。

适用场景：WordPress 插件上架仓库前的自查、代码审计、安全评估、编码规范整改与测试补充。

限制：资料未说明收费、平台适用范围或运行环境要求；该技能依赖在特定目录（/mnt/user-data/uploads/、/home/claude/、/mnt/user-data/outputs/）中运行，并需要 PHPCS、PHPStan、PHPUnit 等工具可用。