aaron给 WordPress 写插件，这事儿听起来挺酷——毕竟能亲手扩展一个驱动着全球四成网站的平台。但真干起来，才发现这活儿远不止是把 PHP 代码塞进一个文件那么简单。很多开发者，尤其是刚从通用 PHP 开发转过来的，容易掉进一些典型的“WordPress 式陷阱”里。这些坑点不一定会让插件立刻崩溃，却可能在日后引发性能瓶颈、安全漏洞，或是让其他开发者骂骂咧咧。
把 WordPress 当成普通的 PHP 框架来用
这是新手最容易犯的毛病。WordPress 有一套自己成熟的 API 体系，从数据库操作（WP_Query, $wpdb）、选项管理（get_option）、到文件处理（wp_upload_bits）。如果你无视这些，自己写 SQL 语句、用原生的fopen处理上传，麻烦就来了。比如，你的 SQL 查询可能破坏了查询缓存，或者无法兼容不同的数据库表前缀。更糟的是，你绕过了 WordPress 内置的数据验证和转义，亲手给 SQL 注入开了扇后门。
钩子（Hooks）的滥用与管理混乱
动作钩子（Action）和过滤器钩子（Filter）是 WordPress 的灵魂，但用不好就是性能的噩梦。常见问题有两个：一是钩子优先级（priority）乱设，导致执行顺序错乱，插件功能时灵时不灵；二是添加了钩子却忘了移除。比如，你在某个管理页面添加了一个admin_footer钩子来输出脚本，结果这个脚本被加载到了后台所有页面，白白增加了 HTTP 请求。正确的做法是，在需要的特定上下文条件判断后再添加钩子，或者使用remove_action / remove_filter在适当时机清理。
对瞬态缓存（Transients）的误解
很多开发者知道用set_transient()和get_transient()来缓存数据，但忽略了它的底层机制。WordPress 的瞬态缓存可能使用数据库选项表（wp_options）或对象缓存（如 Memcached、Redis）。如果你缓存的数据体积很大（比如一个复杂的查询结果数组），而站点又只配置了数据库缓存，频繁读写会迅速拖慢数据库。另一个坑是缓存键（key）的命名冲突。你的插件叫“Awesome Slider”，缓存键就设成awesome_slider_data？太危险了。其他插件也可能用同样的前缀。最佳实践是加上唯一前缀，甚至可以考虑直接用插件 slug 作为命名空间的一部分。
国际化（i18n）与本地化（l10n）的“伪实现”
用__()和_e()把界面字符串包起来，这只是第一步。真正的坑在于动态字符串的处理和复数的忽略。比如，你输出“Found %d item”，直接用sprintf( __( 'Found %d item', 'your-textdomain' ), $count )。当$count不是 1 时，这句话在英语里就语法错误了。WordPress 提供了_n()函数来处理单复数。但更深的坑是，有些开发者把变量直接拼接在翻译函数里，如__( 'Hello, ' . $username, 'textdomain' )，这会让翻译工具无法提取$username之前的部分，破坏了整个国际化工作流。
安全：你以为你逃过了，其实没有
除了老生常谈的 SQL 注入和 XSS，WordPress 插件开发有几个独特的安全盲区。一是非验证（Nonce）的误用。非验证用于防止跨站请求伪造（CSRF），但它应该与具体的操作和用户上下文绑定。常见错误是生成一个非验证后，在多个地方或多个用户会话中复用。二是权限检查（Capability Checks）不彻底。你可能检查了用户能否“edit_posts”，但忘了检查他编辑的是否是自己的文章，或者当前文章类型是否允许他操作。三是文件操作的安全路径。像原文插件那样，允许管理员自定义图片目录路径是强大的，但也危险。如果没有严格的路径遍历检查（比如使用realpath进行验证），用户输入../../../../wp-config.php这样的路径就可能导致灾难。
版本兼容性：沉默的断裂
在readme.txt里写一句“Requires at least: 5.0”远远不够。WordPress 核心函数会废弃，行为会改变。比如，save_post钩子在自动保存和修订版时的触发逻辑，不同版本间就有细微差别。如果你的插件重度依赖某个 API，而该 API 在后续版本中被标记为deprecated，你的插件不会立刻崩溃，但会在用户的错误日志里默默填满警告。更专业的做法是在开发时，就关注 WordPress 核心的 Trac 工单和开发博客，对即将到来的变更提前适配，或者至少，在插件内对 WordPress 版本做条件判断，并提供降级方案。
说到底，WordPress 插件开发是一门关于“上下文”和“公约”的学问。它要求你在拥有 PHP 开发者自由的同时，严格遵守平台定下的规矩。那些看似顺畅运行起来的代码，可能在多站点部署、在使用了特定对象缓存的服务器上、或者在下一个 WordPress 主版本更新时，露出它狰狞的另一面。插件商店里那些评分骤降的更新，背后往往就是某个被忽视的坑点终于被踩中了。