用途：指导开发者按 WordPress 核心模式构建安全插件，覆盖钩子、数据库交互、Settings API、自定义文章类型、REST API 与 AJAX。依赖：无（WordPress 5.9+、PHP 7.4+；推荐 WordPress 6.7+、PHP 8.0+）。
主要能力：提供三种架构选择——简单函数（少于 5 个函数的小插件）、OOP（中等插件）、PSR-4 命名空间加 Composer 自动加载（大型现代插件）；给出插件头部注释、ABSPATH 检查、唯一前缀、能力检查、Nonce、输入清理与输出转义、$wpdb->prepare() 预处理语句等安全基础；并列出 20 个常见问题的预防方式，包括 SQL 注入、XSS、CSRF、缺失能力检查、直接文件访问、前缀冲突、重写规则未刷新、临时数据未清理、脚本全局加载、REST API 缺少 permission_callback、卸载钩子重复注册、停用时误删数据、文本域不匹配、依赖缺失等。
使用方式：先选架构，再写插件头部（Plugin Name 为唯一必填字段，Text Domain 需与插件 slug 完全一致），随后实现安全基础：唯一前缀（至少 4-5 字符）、每个 PHP 文件加 if ( ! defined( 'ABSPATH' ) ) { exit; }、用 current_user_can() 而非 is_admin()、表单与 AJAX 用 wp_nonce_field()/wp_verify_nonce() 或 check_ajax_referer()、数据库查询用 $wpdb->prepare() 配合 %s/%d/%f 占位符，LIKE 查询用 $wpdb->esc_like()。注册自定义文章类型时在激活钩子中调用 flush_rewrite_rules()，永久清理放在 uninstall.php。
适用场景：开发或审查 WordPress 插件，尤其是涉及表单、AJAX、REST 端点与数据库写入的场景。
限制：资料未提供具体价格、平台支持范围或效果数据；示例代码需按实际项目调整，不能直接视为完整可运行插件。