用途：对 WordPress 主题、插件和自定义代码做系统化安全代码审查。核心原则是先扫描严重漏洞（SQL 注入、XSS、认证绕过），再检查授权问题，最后给出加固建议，报告需带行号与严重级别。
适用场景：审查 WordPress 主题或插件的 PR/代码安全；用户报告疑似被入侵、恶意软件或安全事件；公开发布或安全认证前的审计；检查认证、授权与权限校验；排查可疑代码或后门。不适用于：仅性能审查、非 WordPress 的通用 PHP 审查、服务器/基础设施安全（本技能聚焦代码）。
主要能力：按 OWASP Top 10 映射 WordPress 表现（访问控制、加密失败、注入、不安全设计、配置错误、组件漏洞、认证失败、数据完整性、日志失败、SSRF）；按文件类型检查插件/主题 PHP、数据库操作、AJAX 与 REST 处理器、文件操作、认证与会话、外部请求、Cron 定时任务；提供 grep 快速检测模式与安全反模式对照（SQL 注入、XSS、CSRF、授权与能力检查、输入校验与清理、文件上传、危险函数、SSRF）。
使用方式：先识别文件类型并套用对应检查项，优先扫描严重漏洞，再查授权问题，记录加固机会，最后按行号与严重级别输出报告。资料中给出的检测命令保持原样，例如：grep -rn '$wpdb->query\s*(' . | grep -v 'prepare'；grep -rn 'echo\s*$_' .；grep -rn '\beval\s*(' .；grep -rn 'register_rest_route' . | grep -v 'permission_callback'。
限制：资料未提供安装方式、收费、价格、平台支持与效果数据，暂未提供；本技能仅覆盖代码层面安全审查，不涉及服务器与基础设施安全。