用cursor修复wordpress插件，先确定漏洞来自第三方版本还是自有业务代码。下面以后台备注保存功能为例，组合能力检查、nonce验证、输入约束和输出转义，并给出完整教学插件。
先理清开发方向：是升级现有插件，还是修改自有插件
如果风险来自公开第三方插件，优先核对作者公告、受影响范围和修复版本，在备份副本中升级。不要只让Cursor修改安装目录里的一行代码：后续更新可能覆盖补丁，授权与维护责任也容易不清楚。
自有插件则先整理主文件、注册钩子、后台页面、REST或AJAX入口和数据操作。本文用一个只允许管理站点选项的账号保存备注的教学插件，说明最容易漏掉的四层校验。
别搞混：nonce不等于权限校验，输入清洗也替代不了输出转义
WordPress的nonce用于帮助验证请求意图，不是登录凭证或角色授权，也不保证每个值只使用一次。
立即学习“PHP免费学习笔记（深入）”；
用户权限校验管的是「当前这个人有没有资格做这个操作」，输入校验管的是「提交的数据符不符合业务规则」，输出转义则是根据当前页面的上下文，把特殊字符转义，避免内容被浏览器解析成恶意标签或者属性。
很多人踩过的坑：只在前端表单生成nonce，后端处理逻辑里忘了校验，或者只做了输入清洗就直接把内容输出到页面，这两种操作都没法覆盖完整的安全防护链路。
引导Cursor顺着钩子调用链路，定位到实际的保存逻辑函数
在测试站副本中打开插件目录，进入Agent侧栏。先让Cursor列出所有可访问入口，以及每个入口对应的回调、权限检查和写入函数，不允许改动WordPress核心文件。
说明允许保存备注的能力要求，要求检查按钮隐藏之外的后端限制。明确nonce动作名称、字段名与验证位置必须匹配，不能把“已经登录”当作管理权限。
要求给最小补丁与测试。逐文件查看差异，确认新代码没有注册不必要的未登录入口，没有直接把请求数组整体写入选项，也没有添加任意远程请求。
在测试站启用插件后，用具备权限和不具备权限的账号分别访问，再提交缺失、错误nonce与数组字段。检查拒绝时选项值保持不变，并查看页面是否安全显示备注。
审查此WordPress自有插件，不修改核心和其他插件。 先列出admin_post、AJAX、REST等入口与存储调用。 备注保存仅允许manage_options能力，POST与匹配nonce都必须在写入前验证。 输入限制类型与长度；后台文本、textarea和URL分别使用对应转义函数。 给最小差异、完整插件及拒绝请求不改变选项的集成测试建议。 第三方依赖漏洞先核对上游修复，不直接改vendor或声称nonce等于授权。
完整实操演示：后台备注功能的安全实现过程
把代码存成safe-note.php，你可以先脱离WordPress环境跑独立规则测试。
要放到WordPress里调试的话，先把它放到测试站点插件目录的单独子文件夹里再启用，之后就能在后台「设置」菜单下找到Safe Note操作页，全程不会覆盖你站点上已有的其他插件文件。
<?php
declare(strict_types=1);
/*
Plugin Name: Safe Note Teaching Demo
Description: Capability, nonce, validation and escaping example.
Version: 1.0.0
*/
function acme_note_rule(string $method, bool $can, bool $nonceOk, mixed $note): string {
if ($method !== 'POST' || !$can || !$nonceOk) {
throw new InvalidArgumentException('Forbidden');
}
if (!is_string($note) || strlen($note) > 200) {
throw new InvalidArgumentException('Invalid note');
}
return trim($note);
}
if (!defined('ABSPATH')) {
// 不模拟WordPress核心；这里只测试本文件的独立决策函数。
if (!in_array(PHP_SAPI,['cli','phpdbg','wasm'],true)) { http_response_code(403); exit; }
if (acme_note_rule('POST',true,true,' hello ') !== 'hello') { throw new RuntimeException('FAIL'); }
echo 'admin_post: PASS', PHP_EOL;
foreach (['no_capability'=>['POST',false,true,'ok'], 'invalid_nonce'=>['POST',true,false,'ok'],
'get_request'=>['GET',true,true,'ok'], 'array_input'=>['POST',true,true,[]]] as $name=>$args) {
try { acme_note_rule(...$args); }
catch (InvalidArgumentException $e) { echo $name, ': PASS rejected', PHP_EOL; continue; }
throw new RuntimeException('FAIL: '.$name);
}
echo 'Runtime: PHP ', PHP_VERSION, ' / ', PHP_SAPI, ' / standalone rules only', PHP_EOL;
return;
}
add_action('admin_menu', static function (): void {
add_options_page('Safe Note','Safe Note','manage_options','acme-safe-note',static function (): void {
if (!current_user_can('manage_options')) { wp_die('Forbidden','',['response'=>403]); }
$note = get_option('acme_safe_note','');
$note = is_string($note) ? $note : '';
echo '<div class="wrap"><h1>Safe Note</h1><form method="post" action="'.esc_url(admin_url('admin-post.php')).'">';
echo '<input type="hidden" name="action" value="acme_note_save">';
wp_nonce_field('acme_note_save');
echo '<textarea name="note">'.esc_textarea($note).'</textarea>';
submit_button('Save');
echo '</form><p>'.esc_html($note).'</p></div>';
});
});
add_action('admin_post_acme_note_save', static function (): void {
$nonce = $_POST['_wpnonce'] ?? null;
$nonceOk = is_string($nonce) && wp_verify_nonce(wp_unslash($nonce),'acme_note_save') !== false;
$raw = $_POST['note'] ?? null;
$raw = is_string($raw) ? wp_unslash($raw) : $raw;
try {
$note = acme_note_rule($_SERVER['REQUEST_METHOD'] ?? '',
current_user_can('manage_options'),$nonceOk,$raw);
} catch (InvalidArgumentException $e) { wp_die('Rejected','',['response'=>403]); }
update_option('acme_safe_note',sanitize_text_field($note));
wp_safe_redirect(admin_url('options-general.php?page=acme-safe-note'));
exit;
});
php safe-note.php
独立规则已在macOS上的PHP 8.5.10 WebAssembly执行。这里没有安装WordPress，没有把模拟函数冒充核心函数；截图只验证布尔权限结果与输入规则，真实钩子、nonce生命周期和选项保存尚需测试站验收。
后台选项页和文章编辑页的权限校验规则，并不通用
| 业务 | 能力判断 | 资源范围 |
|---|---|---|
| 站点级设置 | 适合该设置的管理能力 | 不能开放给普通登录用户 |
| 编辑指定文章 | 针对文章编号的对象能力检查 | 需考虑作者、状态和站点规则 |
真实站点还应记录WordPress、PHP及插件版本，保留变更包和恢复方案。不要把普通站点的角色假设照搬到多站点；自定义角色也应按能力测试，而不是按显示名称判断。
测试补丁效果的时候，先临时关掉站点的整页缓存，不然旧表单、旧页面的缓存内容会干扰判断，看不出修复是不是真的生效。
所有排查记录要写清请求发起者的身份、预期校验结果、实际数据库存储的变动，绝对不能把账号明文密码、完整的nonce值写到记录里。
四个必须逐一核对的常见校验失效场景
- 编辑者也能保存管理设置：检查处理器是否执行能力验证，而不只是菜单限制。
- 表单一直提示nonce错误：核对动作名称、字段及缓存，不通过移除验证解决。
- 备注显示异常或变成标签：检查输出上下文，分别使用文本和textarea转义。
- 升级后漏洞重新出现：确认补丁是否已被上游更新覆盖，并建立版本化维护方案。
