WordPress插件開發入門指南
WordPress插件係擴展WordPress核心功能嘅核心機制。佢容許開發者唔使改動WordPress核心代碼嘅前提下，為網站加入新功能或者修改現有行為。無論係簡單嘅短代碼功能，定係複雜嘅電商系統，都可以透過插件嚟實現。理解插件嘅運作原理，係每個WordPress開發者踏出嘅第一步。
一個WordPress插件本質上就係一個或者多個PHP檔案，裏面包含跟隨WordPress編碼標準嘅代碼。呢啲檔案會放喺一個特定目錄入面，並透過WordPress嘅插件API同核心進行互動。開發插件唔單止需要PHP知識，仲要熟悉WordPress提供嘅龐大函數庫、掛鈎系統（Hooks）同埋數據庫操作方式。
創建你嘅第一個插件檔案
每一個WordPress插件都需要一個主檔案，呢個檔案係插件嘅入口點。佢包含咗插件嘅元信息，並負責初始化插件嘅核心功能。
推薦閱讀 WordPress插件開發完整指南：從零基礎到上架發佈。
插件主檔案嘅結構
插件嘅核心係主檔案，通常以插件名稱命名，例如 my-first-plugin.php。呢個檔案嘅頭部註釋好緊要，佢向WordPress提供咗插件嘅身份資料。一個最簡單嘅主檔案頭部註釋係咁樣嘅：
<?php
/**
* Plugin Name: 我的第一个插件
* Plugin URI: https://example.com/my-first-plugin
* Description: 这是一个用于演示的简单WordPress插件。
* Version: 1.0.0
* Author: 你的名字
* Author URI: https://example.com
* License: GPL v2 or later
* Text Domain: my-first-plugin
*/呢段註釋入面嘅「Plugin Name」係必填項，WordPress靠佢嚟喺後台管理介面度識別同顯示你嘅插件。其他資料好似版本號、描述等等就有助於用戶了解插件詳情。
定義咗插件資料之後，我哋通常會開始加功能代碼。例如，一個最簡單嘅功能係喺網站底部加一行自訂文字。咁樣可以透過使用 wp_footer 呢個鉤子（Action Hook）嚟實現。
實現一個簡單嘅功能函數
以下係一個完整嘅插件主文件示例，佢實現咗喺頁面底部添加文本嘅功能：
<?php
/**
* Plugin Name: 页脚问候插件
*/
// 防止直接访问文件
if ( ! defined( 'ABSPATH' ) ) {
exit;
}
/**
* 在网站页脚输出一条自定义问候语
*/
function myplugin_add_footer_text() {
echo '<p style="text-align:center;">多謝你嚟探訪呢個網站！</p>';
}
// 将函数挂载到`wp_footer`钩子上
add_action( 'wp_footer', 'myplugin_add_footer_text' );喺呢段代碼入面，myplugin_add_footer_text 係我哋定義嘅函數，佢執行具體嘅輸出操作。add_action() 係WordPress嘅函數，佢會將我哋嘅功能函數「鈎入」WordPress核心嘅 wp_footer 執行點上。咁樣，每當WordPress執行到頁腳部分嗰陣，就會自動調用我哋嘅函數。
推薦閱讀 從入門到精通：WordPress插件開發完整指南同實戰教程。
理解WordPress嘅鈎子機制
鈎子（Hooks）係WordPress插件開發嘅核心同靈魂，佢提供咗修改或者擴展WordPress核心功能嘅能力。鈎子分為兩種主要類型：動作鈎子（Action Hooks）同過濾器鈎子（Filter Hooks）。
動作鉤子嘅應用
動作鈎子容許你喺特定時間點或者事件發生嗰陣執行自訂程式碼。例如，當一篇文章發佈嗰陣（publish_post），又或者當用戶登入嗰陣（wp_login）。用 add_action() 函數可以將你嘅回呼函數綁定到一個動作鈎子上。
下面的例子展示了如何在文章内容之后自动添加一段版权声明：
function myplugin_add_post_copyright( $content ) {
if ( is_single() ) {
$copyright = '<div class="post-copyright"><p>本文為原創內容，轉載請註明出處。</p></div>';
$content .= $copyright;
}
return $content;
}
add_filter( 'the_content', 'myplugin_add_post_copyright' );注意，呢度我哋用咗 add_filter() 而唔係 add_action()，因為修改文章內容屬於「過濾」行為。呢樣嘢引出咗另一種重要嘅掛鈎。
過濾器掛鈎嘅功能
過濾器掛鉤容許你修改喺過程中傳遞嘅數據。佢同動作掛鉤最大嘅分別在於，過濾器函數必須要返回一個值（通常係修改過嘅輸入值）。例如，the_content 過濾器容許你修改即將輸出嘅文章內容，, the_title 容許你修改文章標題。
下面嘅例子展示咗點樣使用過濾器修改文章摘要嘅長度：
推薦閱讀 WordPress插件開發入門指南：從零開始構建你嘅第一個自訂插件。
function myplugin_custom_excerpt_length( $length ) {
// 将默认的55个词改为20个词
return 20;
}
add_filter( 'excerpt_length', 'myplugin_custom_excerpt_length' );喺呢個例子入面，我哋嘅函數 myplugin_custom_excerpt_length 接收咗預設嘅摘要長度值，然後返還咗我哋自訂嘅新值。WordPress跟住就會用呢個新值嚟生成摘要。
插件國際化同文字域
為咗令你嘅插件可以俾全世界嘅用戶用到，國際化（i18n）係必不可少嘅一步。WordPress提供咗完整嘅函數集嚟實現插件嘅多語言翻譯。
載入插件文字域
國際化嘅第一步係喺插件中正確設定文字域（Text Domain），並喺適當時候載入翻譯檔案。文字域需要同插件主檔案頭部註釋中定義嘅「Text Domain」完全一致。
我哋通常會喺插件初始化時使用 load_plugin_textdomain 函數嚟載入翻譯。一個標準嘅做法係將以下程式碼放喺主檔案中：
function myplugin_load_textdomain() {
load_plugin_textdomain( 'my-first-plugin', false, dirname( plugin_basename( __FILE__ ) ) . '/languages/' );
}
add_action( 'plugins_loaded', 'myplugin_load_textdomain' );這段代碼定義咗函數 myplugin_load_textdomain，並用 add_action 將其掛載到 plugins_loaded 掛喺個鉤上面。咁樣確保咗喺插件功能代碼運行之前，翻譯檔案已經被載入咗。其中，第三個參數指定咗語言檔案（.mo檔案）嘅存放路徑，通常放喺插件目錄嘅 languages 資料夾入面。
用翻譯函數包住啲字串
喺插件代碼入面，所有需要翻譯嘅面向用戶嘅字串，都必須要用特定嘅函數包住。最常用嘅兩個函數係 __() 同埋 _e()。
__() 函數返迴翻譯後嘅字符串，而 _e() 函数则直接将其输出（echo）。在之前添加页脚文本的例子中，我们应该这样写以支持翻译：
function myplugin_add_footer_text() {
$text = __( '感谢您访问本网站！', 'my-first-plugin' );
echo '<p style="text-align:center;">' . esc_html( $文字 ) . '</p>';
}
add_action( 'wp_footer', 'myplugin_add_footer_text' );呢度，字符串「多謝您訪問本網站！」被 __() 函數包住，並指定咗文本域 my-first-plugin。翻譯人員可以為呢個字符串生成唔同語言嘅翻譯文件。同時，我哋使用 esc_html() 函數對輸出進行轉義，呢個係一個重要嘅安全實踐。
插件安全同最佳實踐
開發一個受歡迎嘅插件，安全性同代碼質量同功能本身一樣重要。跟隨最佳實踐可以保護用戶網站，同提升插件嘅可靠性同可維護性。
數據驗證、轉義同埋清理
千祈唔好信嚟自用戶或者外部來源嘅數據。喺處理任何輸入（例如$_GET, $_POST, $_COOKIE）或者輸出數據到瀏覽器、數據庫之前，都一定要做適當嘅檢查。
對於輸出到HTML頁面嘅數據，要用WordPress嘅轉義函數，例如 esc_html(), esc_attr(), esc_url()。對於即將存入數據庫嘅數據，使用 wp_strip_all_tags() 或 sanitize_text_field() 進行清理。下面嘅例子展示咗一個處理表單輸入嘅安全方式：
// 假设我们接收一个名为`user_bio`的POST字段
$raw_bio = $_POST['user_bio'] ?? ''; // 使用空合并运算符提供默认值
// 清理数据：移除标签，清理额外空格和特殊字符
$clean_bio = sanitize_textarea_field( $raw_bio );
// 在存入数据库前，还可以使用`wp_kses_post`允许安全的HTML标签
$safe_bio_for_db = wp_kses_post( $clean_bio );
// 现在$safe_bio_for_db可以安全地存入数据库了使用非ce同權限檢查
如果你嘅插件有管理界面或者處理表單提交，必須使用WordPress嘅nonce（一次性數字）機制來防止跨站請求偽造（CSRF）攻擊。同時，要使用權限檢查（Capability Checks）來確保當前用戶有權限執行操作。
喺創建管理菜單或者表單時，生成一個nonce字段：
// 在表单中输出一个非ce字段
wp_nonce_field( 'myplugin_save_action', 'myplugin_nonce_field' );喺處理表單提交嗰陣，驗證呢個nonce：
// 验证非ce
if ( ! isset( $_POST['myplugin_nonce_field'] ) || ! wp_verify_nonce( $_POST['myplugin_nonce_field'], 'myplugin_save_action' ) ) {
wp_die( __( '安全校验失败，操作已终止。', 'my-first-plugin' ) );
}
// 检查用户权限（例如，检查是否有`manage_options`权限）
if ( ! current_user_can( 'manage_options' ) ) {
wp_die( __( '您没有执行此操作的权限。', 'my-first-plugin' ) );
}
// 通过所有安全检查，开始处理数据...跟住呢啲安全指引，係建立一個值得信賴嘅插件嘅基礎。
摘要
WordPress插件開發係一個將創意變成功能嘅過程，佢建立喺對WordPress核心架構嘅深入理解之上。由創建一個包含正確頭部註釋嘅主檔案開始，開發者就踏入咗呢個生態系統。掌握動作鈎同過濾器鈎嘅分別同應用，係實現功能擴展嘅關鍵。透過插件國際化，可以令你嘅作品服務全球用戶。而貫穿始終嘅安全實踐，包括數據驗證、跳脫、清理同埋nonce同權限檢查，就係保障插件穩定可靠、贏取用戶信任嘅基石。跟住呢啲步驟同最佳實踐，你就能夠建立出功能強大、安全而且易於維護嘅WordPress插件。
常見問題
一個WordPress插件最少需要幾個檔案？
一個功能最簡單嘅WordPress插件可以只係得一個PHP檔案。呢個檔案必須包含符合標準嘅插件頭部註釋（Plugin Name等），同埋包含實現功能嘅程式碼。隨住插件功能變得複雜，通常會拆分成多個檔案，同埋包含CSS、JavaScript、圖片同埋語言翻譯檔案等等。
我應唔應該將插件代碼直接寫喺主題嘅functions.php檔案入面？
對於只係針對當前主題、而且功能緊密相關嘅代碼，可以寫喺主題嘅functions.php入面。但係，對於具有通用性、希望喺唔同主題下都能夠使用嘅功能，強烈建議將其開發為獨立嘅插件。插件嘅好處在於其獨立於主題，切換主題時功能唔會消失，亦都便於管理同分發。
點樣為我嘅插件創建一個管理設定頁面？
你可以用 WordPress 提供嘅函數嚟加管理選單同頁面。最常用嘅係 add_menu_page() 或 add_options_page() 函數。你需要整一個回調函數嚟輸出頁面嘅 HTML 內容，同埋處理表單嘅提交（包括 nonce 驗證同權限檢查）。通常呢個過程會涉及 WordPress 設定 API（Settings API）嘅使用，佢可以幫你更規範、更安全咁整同管理設定選項。
開發插件嗰陣，點樣調試同記錄錯誤？
首先，要確保喺開發環境嘅wp-config.php喺文件度開啟WP_DEBUG：define( 'WP_DEBUG', true );。咁樣會喺頁面顯示PHP錯誤同警告。對於更複雜嘅除錯，可以用error_log()函數將資訊記錄到伺服器嘅錯誤日誌度，又或者用WordPress嘅wp_debug相關函數。另外，有好多唔錯嘅第三方除錯插件，好似Query Monitor咁，可以幫你分析數據庫查詢、掛鈎、腳本等等，係插件開發嘅強大幫手。
下一步應該點做?
延伸閱讀及實用知識
以下內容與本文主題相關,適合進一步閱讀。一般而言,最好由與你目前問題最緊密相關的文章開始,然後逐步擴展到周邊主題。