核心概念同準備功夫
WordPress插件開發係指喺WordPress核心功能之外，編寫獨立嘅PHP代碼模組，用嚟擴展同增強網站功能。理解佢嘅運作原理係成功嘅第一步。WordPress採用咗事件驅動（掛鉤同過濾器）同面向對象嘅編程範式。插件本質上係一個或者多個PHP檔案，透過WordPress預先定義嘅接口同核心進行互動，從而實現安全嘅功能添加。
開發之前，你需要一個穩定嘅本地或者測試伺服器環境。強烈建議安裝本地伺服器軟件，例如XAMPP、Local by Flywheel或者DevKinsta。同時，確保你擁有代碼編輯器（例如VS Code或者PhpStorm），並且開啟咗WordPress嘅除錯模式。呢個需要喺wp-config.php檔案入面設定一啲常量：
define( ‘WP_DEBUG’, true );
define( ‘WP_DEBUG_LOG’, true );
define( ‘WP_DEBUG_DISPLAY’, false );啟用WP_DEBUG_LOG之後，錯誤信息會記錄到/wp-content/debug.log檔案入面，呢樣嘢對於排查問題好重要。
推薦閱讀 WordPress主題開發進階指南：由新手到高手嘅實用教學。
創建你嘅第一個插件
創建一個插件，首先要喺/wp-content/plugins/目錄下面建立一個專屬嘅資料夾，例如my-first-plugin。喺呢個文件夾入面，你必須創建一個主PHP文件，文件名通常同文件夾名一致，例如my-first-plugin.php。
編寫插件頭部信息
每個WordPress插件都需要一個標準嘅插件頭部註釋，呢個係WordPress識別插件嘅「身份證」。佢必須喺主文件嘅開頭，使用特定嘅格式。核心係Plugin Name，其他信息如描述、版本、作者等亦都非常重要。
<?php
/**
* Plugin Name: 我的第一个插件
* Plugin URI: https://example.com/my-first-plugin
* Description: 这是一个用于学习WordPress插件开发的示例插件。
* Version: 1.0.0
* Author: 你的名字
* Author URI: https://example.com
* License: GPL v2 or later
* Text Domain: my-first-plugin
* Domain Path: /languages
*/呢段註釋會令你嘅插件出現喺WordPress後台嘅「插件」列表入面，並顯示上述信息。其中Text Domain同埋Domain Path係為插件國際化（翻譯）準備嘅。
實現一個基礎功能
而家，等我哋為插件加一個簡單功能：喺文章內容底部自動加一段自訂文字。呢個要用到WordPress嘅「過濾器」（Filter）。過濾器容許你喺數據存入數據庫或者輸出到瀏覽器之前修改佢。
我哋會用the_content呢個過濾器。喺你嘅主插件檔案入面，頭部註解之後，加以下代碼：
推薦閱讀 WordPress插件開發終極指南：從零開始打造你的第一個插件。
// 在文章内容末尾添加自定义文本
function myfp_add_text_to_content( $content ) {
if ( is_single() && in_the_loop() && is_main_query() ) {
$custom_text = ‘<p><em>多謝你睇完呢篇文章！由「我嘅第一個插件」提供支援。</em></p>’;
$content .= $custom_text;
}
return $content;
}
add_filter( ‘the_content’, ‘myfp_add_text_to_content’ );保存檔案之後，去返 WordPress 後台啟用呢個插件。當你睇單篇文章嗰陣，就會喺內容最尾見到加咗嘅文字。呢度，myfp_add_text_to_content係我哋定義嘅函數，佢會接收文章內容$content，喺符合條件（係單篇文章、喺主循環入面）嗰陣加一段文字，然後傳返修改之後嘅內容。add_filter()函數將呢個自訂函數掛載到the_content過濾器上。
用掛鉤同過濾器去建立互動
WordPress插件嘅強大之處在於其豐富嘅掛鈎系統，分為動作掛鈎（Action Hooks）同過濾器掛鈎（Filter Hooks）。動作掛鈎容許你喺特定時刻「執行」代碼，而過濾器掛鈎容許你「修改」數據。
利用動作掛鈎添加管理菜單
假設我哋想為插件添加一個設定頁面，呢個需要用到動作掛鈎admin_menu。佢喺WordPress後台管理菜單構建時被觸發。
// 添加插件设置页面到后台菜单
function myfp_add_admin_menu() {
add_menu_page(
‘我的插件设置’, // 页面标题
‘我的插件’, // 菜单标题
‘manage_options’, // 权限要求
‘myfp-settings’, // 菜单slug
‘myfp_settings_page’, // 用于显示页面内容的回调函数
‘dashicons-admin-generic’, // 图标（可选）
80 // 菜单位置
);
}
add_action( ‘admin_menu’, ‘myfp_add_admin_menu’ );
// 定义设置页面的显示内容
function myfp_settings_page() {
?>
<div class="“wrap”">
<h1><?php esc_html_e( ‘我的插件设置’, ‘my-first-plugin’ ); ?></h1>
<p><?php esc_html_e( ‘这是你的第一个插件设置页面。’, ‘my-first-plugin’ ); ?></p>
<form method="“post”" action="/yue/“options.php”/" data-trp-original-action="“options.php”">
<?php
// 后续可以在这里添加设置字段
settings_fields( ‘myfp_settings_group’ );
do_settings_sections( ‘myfp-settings’ );
submit_button();
?>
<input type="hidden" name="trp-form-language" value="yue"/></form>
</div>
<?php
}啟用插件之後，你喺後台左邊會見到一個新嘅「我嘅插件」選項，撳落去就可以進入自訂設定頁面。add_menu_page函數係關鍵，佢會註冊一個頂層選單頁。
建立短代碼增強頁面功能
短代碼（Shortcode）係一個強大工具，可以令用戶喺文章或者頁面度輕鬆調用插件功能。你可以用add_shortcode()用函數嚟註冊一個短碼。
// 创建一个显示当前时间的短代码
function myfp_current_time_shortcode( $atts ) {
// 使用 shortcode_atts 设置默认属性并合并用户输入
$attributes = shortcode_atts( array(
‘format’ => ‘Y-m-d H:i:s’,
), $atts );
// 根据属性格式化当前时间
$current_time = date( $attributes[‘format’] );
// 返回要显示的内容，确保进行转义
return ‘<p>而家時間係：’ . esc_html( $current_time ) . ‘</p>’;
}
add_shortcode( ‘show_time’, ‘myfp_current_time_shortcode’ );而家，用戶可以喺文章編輯器入面輸入[show_time format=“F j, Y”]用於顯示格式化嘅當前日期。短代碼處理器myfp_current_time_shortcode接收屬性陣列，並返回需要插入到頁面中嘅HTML內容。
推薦閱讀 由入門到精通WordPress插件開發：整份打造個人化網站嘅完整指南。
插件安全同最佳實踐
開發插件時，安全性係首要考慮因素。唔安全嘅代碼可能導致網站受攻擊。遵循以下最佳實踐至關重要。
數據驗證、轉義同埋清理
所有嚟自用戶或外部來源嘅數據（例如$_GET， $_POST， $_COOKIE）都係唔可信嘅。喺用佢嚟做數據庫查詢或者輸出到瀏�覽器之前，一定要處理好。
- 輸出到瀏覽器嗰陣，要用轉義函數：確保資料用純文字形式顯示，防止XSS攻擊。針對唔同嘅上下文，WordPress提供咗唔同嘅轉義函數，例如
esc_html()（用喺HTML元素入面）、esc_attr()（用喺HTML屬性入面）、esc_url()（用嚟 URL）同埋wp_kses_post()（容許安全嘅 HTML 標籤通過）。 - 同資料庫互動嗰陣，要用預備語句：千祈唔好直接將變數駁落去 SQL 查詢度。應該用
$wpdb->prepare()方法或者更高級嘅 API 例如WP_Query。例如：
global $wpdb;
$user_id = 123;
$safe_query = $wpdb->prepare( “SELECT * FROM {$wpdb->prefix}posts WHERE post_author = %d”, $user_id );
$results = $wpdb->get_results( $safe_query );呢度%d係一個佔位符，$wpdb->prepare()會安全噉處理$user_id變數。
實現設置選項同安全性
為插件添加可配置嘅設置選項時，應該使用WordPress Settings API。佢自動處理咗Nonce驗證、權限檢查同選項保存，極大噉簡化咗安全流程。
首先，用register_setting()註冊一個設定選項組，然後用add_settings_section()同埋add_settings_field()嚟加字段。之前整嘅管理選單回呼函數myfp_settings_page入面叫嘅settings_fields( ‘myfp_settings_group’ )同埋do_settings_sections( ‘myfp-settings’ )會輸出所有必要嘅安全字段同註冊嘅設定區。呢個比手動處理好$_POST數據要安全可靠得多。
摘要
由編寫一個簡單嘅插件頭部註釋開始，到利用動作同過濾器鉤子同WordPress核心互動，再到建立短代碼同管理頁面，你已經行過咗插件開發嘅關鍵步驟。要時刻記住安全第一嘅原則，對數據進行嚴格嘅驗證、轉義同清理，並積極利用WordPress提供嘅Settings API等安全工具。插件開發係一個持續學習嘅過程，通過閱讀核心代碼、查閱官方手冊同參與社區，你將能夠構建出功能強大、安全且受歡迎嘅WordPress插件。
常見問題
插件開發係咪一定要精通PHP？
係呀，紮實嘅PHP基礎係必要嘅，因為WordPress本身係用PHP編寫嘅。你需要理解PHP語法、函數、類、命名空間等概念。此外，對HTML、CSS同JavaScript有基本了解亦會對開發前端功能大有裨益。
點樣調試我嘅插件代碼？
最有效嘅方法係啟用前文提到嘅WP_DEBUG、WP_DEBUG_LOG同埋WP_DEBUG_DISPLAY。另外，可以用error_log()函數將自訂除錯信息寫入日誌，或者用Xdebug呢類專業除錯工具同你嘅代碼編輯器一齊做逐行除錯。
我應該點樣為我嘅插件加語言翻譯？
首先，喺插件頭部註釋度正確設定Text Domain（例如‘my-first-plugin’）同埋Domain Path（例如‘/languages’）。跟住，喺代碼入面所有需要翻譯嘅字串位置，用類似__( ‘Hello World’, ‘my-first-plugin’ )或esc_html_e( ‘Settings’, ‘my-first-plugin’ )嘅翻譯函數。最後，用Poedit呢類工具生成.pot模板文件，並由此創建唔同語言嘅.po同埋.mo翻譯檔案，放喺指定嘅/languages目錄下。
開發好嘅插件點樣發佈到WordPress官方目錄？
你需要去WordPress官方嘅插件目錄提交頁面。提交之前，要確保代碼跟足WordPress編碼標準，有詳細嘅文檔同註解，而且冇包含任何第三方商業庫嘅版權問題。提交之後，會有一個審核過程，審核通過之後你嘅插件就可以俾全球用戶搜尋同安裝。
下一步應該點做?
延伸閱讀及實用知識
以下內容與本文主題相關,適合進一步閱讀。一般而言,最好由與你目前問題最緊密相關的文章開始,然後逐步擴展到周邊主題。