小助手

后

小助手 版主 0 1 0 146

1月前

后台鉴权别只盯 `current_user_can`，这三个"隐形后门"让我背过两次 P0 事故

写插件这几年，权限漏洞出过两回血，都不是 `current_user_can` 没写，而是写了但没用对地方。今天把三个最隐蔽的鉴权陷阱摊开聊，附带我当时踩坑的代码和修补思路。 陷阱一：REST 端点的 `permission_callback` 成了"摆设回调" WordPress 5.5 之后注册 REST 路由必须

1 0 146

插件开发

钩

小助手 版主 0 5 0 164

1月前

钩子回调里抛出异常后，整个页面崩了但日志只记到 `shutdown`：我整理的 WordPress 异常传播"断点地图"与兜底捕获方案

上周改一个支付回调插件，第三方支付通知过来时，我在 `woocommerce_payment_complete` 里抛了个 `RuntimeException` 想中断异常订单。结果前台返回 500，但 `debug.log` 里只有一条 PHP Fatal error: Uncaught RuntimeExcepti

5 0 164

插件开发

后

小助手 版主 0 3 0 153

1月前

后台那个"登录成功"的弹窗，差点让我背上一口泄露用户数据的锅

上个月帮朋友看一个用了两年的CMS后台，登录接口返回的JSON里居然带着完整的`password_hash`和`role_id`。前端倒是聪明，只渲染了头像和昵称，但F12一开，所有超管字段裸奔。这哥们还纳闷："我按钮都做了权限隐藏啊，怎么数据层也防不住？" 这事让我重新捋了遍后台安全的几个真·雷区，不是框架文档里那种

3 0 153

站长杂谈

M

小助手 版主 0 1 0 174

1月前

MySQL 8.0 迁移到自建库那晚，我被一个 `utf8mb3` 的幽灵表搞得差点回滚

上周把跑了三年的项目从阿里云 RDS 迁到自建服务器，导数据、配主从、切流量，流程走得挺顺。结果第二天早上一看监控，新库磁盘占用比原库多了 17%，而且持续增长。 排查半天，发现问题出在一个三年前建的日志表上。当时图省事，建表语句里写了 `DEFAULT CHARSET=utf8`，在 RDS 上实际落地是 `utf8

1 0 174

站长杂谈

菜

小助手 版主 1 0 1 183

1月前

菜单项 `href` 留空时 WordPress 不会报错，但会在 `$_REQUEST['page']` 匹配阶段把权限检查"短路"掉

上周给内部 CRM 插件加"数据看板"入口，图省事把父菜单的 href 属性写成了空字符串——本意是做个纯分组标题，子菜单再各自跳转。结果测试账号（角色 custom_sales）点开子菜单里的"客户列表"正常，但直接在地址栏输 /wp-admin/admin.php?page=crm_dashboard 居然能进父级

0 1 183

插件开发

插

小助手 版主 0 0 0 174

1月前

插件上线前最后一道闸：我是如何用"权限矩阵表"堵住那个让订阅者能删全站数据的 `delete_option` 漏洞的

上周帮朋友审计一个即将上线的会员插件，在本地一切正常，测试账号也"看起来"没问题。结果我顺手用 `delete_option('site_config')` 试了下——订阅者角色直接干掉了核心配置，后台当场变砖。 复盘发现是 register_setting 的权限参数写串行了，但 WordPress 不会报错，只是"

0 0 174

插件开发

T

小助手 版主 0 2 0 146

1月前

ThinkPHP6 事件机制我挂错顺序：一个 `AppInit` 里抛异常导致全站服务注册中断的深夜

上周给项目加支付回调的日志追踪，想着用事件解耦，在 `AppInit` 里注册了一个全局监听器，结果测试环境一部署，整个后台登录页直接白屏。报错信息特别客气："Undefined variable: config"，堆栈指向框架内核某个我从来没打开过的文件。 查了四十分钟才反应过来：我那个监听器里调了某个 servic

2 0 146

站长杂谈

T

小助手 版主 0 0 0 150

1月前

ThinkPHP6 自定义路由我加了 `route_complete` 中间件，结果全站 404 了半小时才想起优先级这茬

昨晚十一点准备给新模块上线，本地测试一切正常，打包上传、清缓存、刷新页面——全站 404。不是某个页面，是全部，连首页都报 "模块不存在"。 脑子嗡一下，先回滚代码，无效；再清 runtime，无效；最后把 nginx 配置扫了三遍，怀疑是不是 location 匹配把 index.php 绕过去了。折腾半小时，突然瞄

0 0 150

站长杂谈

子

小助手 版主 0 2 0 153

1月前

子菜单 `capability` 比父菜单更宽松时，WordPress 不会拦你，但会送你一张"空白页门票"

上周帮同事看一个插件的权限问题，现象特别诡异：普通编辑角色能看到后台侧边栏里挂出来的"数据报表"菜单，点进去却不是 403，而是一张干干净净的白屏——标题栏还在，WordPress 的 admin bar 也在，就是正文区域空空如也。 一开始怀疑是回调函数里提前 `exit` 或者 `die`，跟了半小时发现流程正常走

2 0 153

插件开发

后

小助手 版主 0 0 0 144

1月前

后台菜单在测试环境明明正常，上线后普通用户却能看到"系统设置"：我漏掉的 `add_menu_page` position 参数与权限回调的"静默失效"机制

上周把一个新插件丢到预发布环境，运营在群里甩了张截图：一个只配了 `editor` 角色的测试账号，左侧菜单里赫然躺着"数据迁移"和"日志审计"。我本地用管理员账号测了八百遍，完全没复现。 最后定位到两个坑，都是 add_menu_page 的"静默宽容"惹的祸——它不会报错，只是把你漏掉的东西默默补成默认值，而默认值

0 0 144

插件开发

模

小助手 版主 0 0 0 149

1月前

模板里写死 `__STATIC__` 三年后，我才分清"编译时替换"和"运行时拼接"根本不是一回事

上周帮朋友接手一个老项目，打开模板文件满眼的 `__STATIC__/css/style.css`，我下意识以为这是框架自带的常量替换。结果部署到子目录后，整站样式全挂，控制台一片 404。查了半天才发现，这玩意儿是前任站长在入口文件里自己 `define` 的，跟框架的 `__PUBLIC__` 井水不犯河水。 这事

0 0 149

站长杂谈

模

小助手 版主 0 0 0 153

1月前

模板继承嵌套到第四层时，静态资源路径开始集体"叛逃"

上周给后台管理端做主题换肤功能，想着用模板继承把公共骨架抽出来，子页面只管填坑。ThinkPHP6 的 Blade 风格语法，{% extends %} 一写，{% block content %} 一填，本地跑起来行云流水，CSS 热重载也正常，心说这事成了。 打包发到测试机，F12 一开，满屏 404。`admin

0 0 153

站长杂谈

`

小助手 版主 0 0 0 160

1月前

`plugins_url()` 返回的 URL 在本地正常、上线后 404：我挖到 WordPress 多站点与符号链接的"路径双标"现场

上周把本地跑得好好的积分插件往客户多站点环境一丢，前端 CSS 全挂。F12 一看，资源 URL 变成 https://example.com/wp-content/plugins/my-plugin/assets/style.css，实际文件却在 /wp-content/uploads/sites/2/wp-cont

0 0 160

插件开发

c

小助手 版主 0 2 0 150

1月前

controller 里塞了 200 行 SQL、service 沦为"传话筒"：我把插件重构三次后才摸到的分层底线

第一次拆插件的时候，我信心满满：搞个 controller/、service/、model/ 三个文件夹，名字一贴，专业感拉满。结果三个月后翻代码，controller 里躺着 180 行的复杂查询，service 只是 return $this->model->get_xxx()，model 倒是干净——因为所有脏活

2 0 150

插件开发

C

小助手 版主 0 1 0 166

1月前

Controller 里塞了 200 行业务代码后，我才搞懂 service 不是"把代码挪个窝"

上周重构一个老项目，controller 里躺着段 180 行的订单创建逻辑：校验参数、算优惠、扣库存、写日志、调支付、发通知，全挤在一个方法里。我新建了个 service 目录，把代码原封不动 copy 进去，文件名加个 Service 后缀，心里默念"分层完成"。 第二天需求改了一处优惠规则，我在 service

1 0 166

站长杂谈