準備工作同環境搭建
喺開始寫代碼之前，需要確保你嘅開發環境配置妥當。一個良好嘅本地開發環境可以極大噉提升開發效率同調試體驗。
首先，你需要在本地電腦上安裝一個Web伺服器環境，呢個通常被稱為「本地伺服器環境」。最流行嘅選擇之一係XAMPP或者MAMP，佢哋集成了Apache、MySQL/MariaDB同PHP。另一種強大嘅方案係用Docker來配置一個接近生產環境嘅環境。無論揀邊種，請確保你嘅PHP版本（建議7.4或者更高）同MySQL版本同大部分WordPress主機環境兼容。
跟住，下載並安裝最新版本嘅WordPress。將WordPress文件解壓到你本地伺服器嘅網站根目錄（例如XAMPP嘅 htdocs 文件夾），並按照出名嘅「五分鐘安裝」流程完成設置。確保你能夠正常訪問呢個本地WordPress站點。
推薦閱讀 深入淺出：從零開始掌握 WordPress 插件開發完整指南。
最後，亦係至關重要嘅一步：準備一個代碼編輯器。推薦使用Visual Studio Code、PhpStorm或者Sublime Text等具備代碼高亮、智能提示同調試功能嘅編輯器。尤其係對於PHP開發，呢啲功能可以幫你避免好多低級語法錯誤。
插件基礎結構同主檔案
一個WordPress插件擁有一個標準而且必需嘅檔案結構，其核心係一個位於 /wp-content/plugins/ 目錄下嘅同名檔案夾，同埋該檔案夾中嘅主PHP檔案。
建立插件嘅主檔案
首先，喺 /wp-content/plugins/ 喺目錄下開一個新嘅資料夾，個名要簡潔、獨一無二而且可以描述插件功能，例如「my-first-plugin」。跟住，喺呢個資料夾入面開一個同資料夾同名嘅PHP檔案，例如 my-first-plugin.php。
呢個主檔案係插件嘅「入口點」，WordPress會透過讀取檔案頂部嘅插件頭資訊嚟識別插件嘅元數據。插件頭資訊係一個標準嘅PHP註解塊，一定要放喺檔案開頭。最少要包含插件名稱同描述。
<?php
/**
* Plugin Name: 我的第一个插件
* Plugin URI: https://example.com/my-first-plugin
* Description: 这是一个学习WordPress插件开发的示例插件，用于展示“Hello World”。
* Version: 1.0.0
* Author: 你的名字
* License: GPL v2 or later
* Text Domain: my-first-plugin
* Domain Path: /languages
*/喺上面嘅代碼入面，Plugin Name 係必填項，其他都係可選但建議填寫。呢啲資訊會顯示喺WordPress後台嘅「插件」管理頁面度。Text Domain 用於國際化（多語言支援），同之後調用翻譯函數時用嘅文本域一致。
推薦閱讀 從零開始掌握 WordPress 插件開發：原理、實踐與高級技巧。
定義插件嘅基本常數
良好嘅插件開發習慣會喺一開始定義一啲有用嘅常數，例如插件嘅檔案路徑同URL，方便喺後續代碼中方便咁引用。咁樣可以避免硬編碼路徑，令代碼更加易於維護同移植。
你可以喺主檔案入面，跟住插件頭信息之後，加入以下代碼嚟定義常數：
// 防止直接访问
if ( ! defined( 'ABSPATH' ) ) {
exit; // 如果 ABSPATH 未定义，则退出
}
// 定义插件路径和URL常量
define( 'MFP_PLUGIN_DIR', plugin_dir_path( __FILE__ ) );
define( 'MFP_PLUGIN_URL', plugin_dir_url( __FILE__ ) );
define( 'MFP_PLUGIN_VERSION', '1.0.0' );呢度，plugin_dir_path( FILE ) 同埋 plugin_dir_url( FILE ) 係WordPress提供嘅核心函數，可以安全咁攞到當前插件檔案嘅目錄路徑同URL。MFP_PLUGIN_VERSION 常量用嚟儲存插件版本號，方便喺引入腳本樣式或者進行版本比較嗰陣使用。
核心功能實現同鉤子使用
WordPress插件開發嘅精髓在於使用「鉤子」（Hooks）系統。鉤子分為兩種：動作（Actions）同過濾器（Filters）。佢哋允許你喺WordPress執行嘅特定時間點（例如載入頁面、儲存文章）插入你嘅代碼，或者修改其他函數輸出嘅數據。
加入一個簡單嘅動作鉤子
等我哋實現一個最簡單嘅功能：喺網站頁腳加一行字。我哋會用動作掛鈎 wp_footer，佢會喺頁腳區域輸出HTML之前觸發。
喺主文件度加一個函數，然後透過 add_action 將個函數掛載到 wp_footer 呢個鉤子上。
推薦閱讀 WordPress插件開發指南：手把手教你從零到一打造自己嘅插件。
/**
* 在网站页脚输出自定义文本
*/
function mfp_display_footer_text() {
echo '<p style="text-align: center; color: #666;">多謝你使用我第一個WordPress插件！</p>';
}
add_action( 'wp_footer', 'mfp_display_footer_text' );而家，啟動你嘅插件並訪問網站前端，碌到頁面底部，你應該會睇到呢行字。呢個就係動作掛鈎嘅基本用法：喺某個時間做某件事。
使用過濾器修改內容
過濾器就係用嚟修改某啲已有嘅值。例如，我哋想修改文章標題，喺所有標題前面加返「【推薦】」字樣。呢個可以透過 the_title 過濾器嚟實現。
創建一個新嘅函數，呢個函數接收要過濾嘅原始標題作為參數，並返返修改後嘅標題，然後透過 add_filter 掛載。
/**
* 在所有文章标题前添加前缀
* @param string $title 原始标题
* @return string 修改后的标题
*/
function mfp_add_prefix_to_title( $title ) {
// 确保只在主循环中修改，避免影响后台列表等其他地方
if ( is_single() && in_the_loop() ) {
$title = '【推荐】' . $title;
}
return $title;
}
add_filter( 'the_title', 'mfp_add_prefix_to_title' );呢個簡單嘅例子展示咗過濾器嘅強大：你可以檢查條件（例如 is_single() 判斷係咪單篇文章頁），只對特定上下文嘅內容進行修改。
加入管理頁面同安全實踐
一個功能完善嘅插件通常需要一個後台設定頁面，等網站管理員可以進行設定。同時，確保程式碼嘅安全性好緊要。
建立插件嘅設定頁面
我哋會用 add_menu_page 函數為插件添加一個頂級管理選單同對應嘅設定頁面。
首先，創建一個函數嚟生成設定頁面嘅HTML內容，然後透過一個掛載到 admin_menu 動作鈎子嘅函數嚟註冊呢個選單。
/**
* 渲染插件设置页面的HTML内容
*/
function mfp_render_settings_page() {
// 检查用户权限
if ( ! current_user_can( 'manage_options' ) ) {
wp_die( __( '你没有足够的权限访问此页面。', 'my-first-plugin' ) );
}
?>
<div class="wrap">
<h1><?php echo esc_html( get_admin_page_title() ); ?></h1>
<p>呢個係我第一個插件嘅設定頁面。以後可以喺度加表格同選項。</p>
<form action="/yue/options.php/" method="post" data-trp-original-action="options.php">
<?php
// 后续可以在这里添加设置字段
// settings_fields( 'mfp_options_group' );
// do_settings_sections( 'mfp-settings-page' );
// submit_button( '保存设置' );
?>
<input type="hidden" name="trp-form-language" value="yue"/></form>
</div>
<?php
}
/**
* 注册插件管理菜单
*/
function mfp_add_admin_menu() {
add_menu_page(
'我的第一个插件设置', // 页面标题
'我的插件', // 菜单标题
'manage_options', // 所需权限 (manage_options)
'mfp-settings-page', // 菜单slug
'mfp_render_settings_page', // 回调函数
'dashicons-admin-plugins', // 图标 (Dashicons)
80 // 菜单位置
);
}
add_action( 'admin_menu', 'mfp_add_admin_menu' );啟動插件之後，你會喺WordPress後台左邊見到一個新嘅「我嘅插件」選單項目。點擊佢就會進入一個簡單嘅設定頁面。呢度預留咗使用WordPress Settings API添加表單欄位嘅接口，呢個係安全處理用戶輸入嘅標準方式。
數據驗證與轉義
任何由用户接收或者输出到浏览器嘅数据都必须经过处理，以防跨站脚本（XSS）攻击同SQL注入。WordPress提供咗丰富嘅安全函数：
- 轉義輸出：使用
esc_html()、esc_attr()、esc_url()同埋wp_kses_post()等函数嚟净化输出到HTML嘅内容。 - 數據驗證：使用
sanitize_text_field()、sanitize_email()等函数嚟清理由表单提交嘅输入数据。 - 非ce密鑰：對於涉及數據修改嘅表單操作，必須使用
wp_nonce_field()同埋wp_verify_nonce()嚟驗證請求嘅合法性。
安全係插件開發嘅生命線，必須喺一開始就養成良好習慣。
摘要
透過本教程，我哋完成咗一個完整嘅、麻雀雖小五臟俱全嘅WordPress插件開發流程。我哋從零開始，建立咗開發環境，創建咗符合規範嘅插件主文件結構，並透過實現向頁尾添加文本同修改文章標題兩個功能，深入理解咗WordPress賴以生存嘅動作鈎子同過濾器鈎子嘅核心用法。最後，我哋為插件添加咗一個基礎嘅後台管理頁面，並強調咗數據驗證、權限檢查同輸出轉義等安全實踐嘅重要性。
呢個簡單嘅“Hello World”級插件，已經包含咗商業插件所需嘅核心要素：標準結構、鈎子使用、後台介面同安全考量。以此為起點，你可以嘗試集成WordPress嘅Settings API嚟創建真正嘅選項，編寫自定義數據庫表，或者創建更復雜嘅短代碼同小工具。記住，持續學習官方開發手冊同參考優質開源插件嘅代碼，係提升技能嘅最佳途徑。
常見問題
### 點樣調試我嘅WordPress插件？
開啟WordPress嘅除錯模式係第一步。喺你 wp-config.php 檔案入面，將 WP_DEBUG 常數嘅值設定為 true。你仲可以設定 WP_DEBUG_LOG 为 true，將錯誤信息記錄到 /wp-content/debug.log 檔案入面，避免錯誤訊息直接顯示喺頁面上影響用戶。
另外，使用瀏覽器開發者工具（F12）嘅Console同Network面板查看JavaScript錯誤同API請求，使用Xdebug等PHP除錯工具同你嘅代碼編輯器（例如VS Code）整合進行斷點除錯，都係非常高效嘅專業除錯方法。
點解我個插件喺啟動嗰陣會彈「致命錯誤」？
呢個通常係因為PHP語法錯誤或者調用咗唔存在嘅函數/類而引起。首先，檢查WordPress嘅除錯日誌（如上所述）。錯誤信息會明確指出邊個檔案嘅邊一行出咗問題。
常見原因包括：漏咗分號、括號或者引號唔匹配，喺未包含必要檔案嘅情況下調用咗某個函數，或者喺插件被停用之後仍然有代碼嘗試運行。確保你嘅PHP版本符合要求，而且所有函數都喺使用之前定義好。
點樣可以令我嘅插件支援多語言（國際化）？
WordPress使用GNU gettext框架嚟實現國際化（i18n）同本地化（l10n）。首先，好似教程所示，喺主檔案頭信息中正確設定 Text Domain（例如 my-first-plugin）同埋 Domain Path。
喺插件代碼入面，對於所有需要翻譯嘅字串，用翻譯函數包裝，例如：__( ‘文本’, ‘my-first-plugin’ ) 或 _e( ‘文本’, ‘my-first-plugin’ )。然後，用好似Poedit咁嘅工具掃描代碼入面呢啲字串，生成 .pot 模板文件，同埋為佢建立對應語言（例如中文zh_CN）嘅 .po 同 .mo 文件，放喺 /languages/ 目錄下。
插件開發點樣安全咁同資料庫互動？
千祈唔好直接寫SQL語句拼接用戶輸入。一定要用WordPress提供嘅資料庫操作類 $wpdb。佢提供咗好似 $wpdb->prepare() 噉嘅方法，可以對SQL查詢進行安全嘅預備語句處理，有效防止SQL注入。
例如，查詢數據時應該咁樣寫：
global $wpdb;
$user_input = $_POST['some_input'];
$safe_query = $wpdb->prepare( "SELECT * FROM {$wpdb->prefix}table WHERE column = %s", $user_input );
$results = $wpdb->get_results( $safe_query );同時，對用戶輸入進行嚴格嘅數據驗證同清理，例如使用 sanitize_text_field() 等函數。
下一步應該點做?
延伸閱讀及實用知識
以下內容與本文主題相關,適合進一步閱讀。一般而言,最好由與你目前問題最緊密相關的文章開始,然後逐步擴展到周邊主題。