WordPress主题中PHP代码安全的前提是仅在标准模板文件中规范编写，避免硬编码、未过滤输入、eval()等危险操作，所有输出需转义，动态逻辑应通过短代码或专用模板实现，并始终使用子主题开发。
在WordPress主题开发中，直接往模板文件里加PHP代码本身是安全的——前提是写法规范、逻辑清晰、不引入外部不可信输入。真正危险的不是PHP标签，而是错误的使用方式：比如硬编码敏感信息、未过滤用户数据、滥用eval()、或在不该执行PHP的地方强行解析内容。
只在主题模板文件中写PHP
WordPress官方推荐且唯一安全的PHP执行位置，就是主题目录下的标准模板文件（如index.php、single.php、header.php等）。这些文件由WordPress内核按模板层级自动加载，天然受主题机制保护。
- 确保所有PHP代码都写在
<?php和?>之间，不要嵌套<?php标签 - 避免在
functions.php中写大段输出逻辑，它适合注册钩子、定义函数，不适合直接echo HTML - 不要修改
wp-includes或wp-admin里的核心文件——这类操作既不安全也不可持续
输出动态内容前必须转义和验证
从数据库、URL参数、表单提交或用户资料中读取的数据，绝不能直接echo。哪怕只是the_title()，也要根据上下文选对函数：
- 显示标题用
the_title()（已自动转义），存到变量用get_the_title()，再手动处理时需搭配esc_html()或wp_kses_post() - 输出URL用
esc_url()，输出HTML片段用wp_kses_post()，输出属性值用esc_attr() - 处理
$_GET或$_POST前，先用isset()判断，再用sanitize_text_field()或absint()清洗
禁止在文章内容区执行PHP
WordPress默认禁用文章正文中的PHP执行，这是关键安全防线。切勿通过插件“启用文章PHP”或修改wp-includes/post-template.php来绕过它。
立即学习“PHP免费学习笔记（深入）”；
- 如果某篇文章需要动态逻辑（如API调用、条件展示），应创建专用模板（如
single-custom-php.php），并在后台文章编辑页手动指定该模板 - 绝对不要用
eval()、create_function()或preg_replace('/.*/e')解析用户提交的内容 - 短代码（shortcode）是安全替代方案：把PHP逻辑封装进
add_shortcode()，在文章中用[my_widget]调用
子主题是安全开发的前提
所有自定义PHP代码都应放在子主题中，而非父主题。这样既能继承原主题功能，又可避免更新时被覆盖。
- 子主题的
functions.php会优先于父主题加载，适合覆写函数或添加新功能 - 子主题模板文件（如
archive.php）会自动覆盖父主题同名文件，无需修改父主题任何一行 - 确保子主题
style.css头部包含正确Template:声明，否则无法识别为子主题
