Руководство разработчика по использованию бесплатных плагинов WordPress

• Сначала нам нужно проверить данные. Если введенные пользователем данные не будут должным образом проверены и дезинфицированы, любой сможет ввести данные, наносящие ущерб нашим сайтам.

• Затем нам нужно проверить, получает ли плагин доступ к конфиденциальным данным, таким как сведения о конфигурации и пользовательские данные, и отправляет ли их сторонним приложениям.

• Также нам нужно проверить, отправляет ли плагин электронные письма на неизвестные адреса электронной почты с данными из вашей базы данных или файлов.

• Некоторые разработчики вставляют спам-контент, такой как ссылки на профили в социальных сетях разработчиков, веб-сайты, партнерские объявления и ссылки, в выходные данные, создаваемые плагином. Обязательно удалите такие вещи из кода или избегайте использования таких плагинов.

Это лишь некоторые из проблем безопасности, которые плагины будут иметь в своем коде. Когда вы обнаружите что-то вредоносное в кодах плагинов, обязательно сообщите об этом сообществу, чтобы другие пользователи не могли использовать такие плагины.

Специальные параметры плагина

Разработчики плагинов WordPress используют параметры для сохранения настроек и другой важной информации, связанной с плагинами. Эти параметры хранятся в таблице wp_options

С плагинами, которые используют одни и те же ключи для своих параметров, сложно управлять без конфликтов, как и в случае с именами функций и классов. В этом сценарии хуже, поскольку два дублированных ключа опции могут не вызывать видимых ошибок, но могут конфликтовать. Это может быть чрезвычайно трудно понять точную проблему.

Рассмотрите следующие коды для создания опций плагина.

Не рекомендуется

 update_option( 'xml', $opt );

update_option( 'social', $opt );

рекомендуемые

 update_option( 'wpseo_xml', $opt );

update_option( 'wpseo_social', $opt );

К сожалению, единственное известное мне решение этой проблемы — вручную проверить, использует ли плагин префиксы для своих опциональных ключей.

Прямая загрузка CSS и JavaScript

Неопытные разработчики WordPress обычно загружают свои файлы CSS и JavaScripts прямо внутри плагина. Это может вызвать проблемы.

• Повторяющиеся файлы CSS и JavaScript
• Увеличено время загрузки страницы и возможность взлома кода.
• Включает файлы повсюду на странице

С другой стороны, опытные разработчики будут использовать действие wp_enqueue_scripts Он проверяет, загружена ли библиотека и есть ли какие-либо зависимости, прежде чем включать ее в страницу, предотвращая любые дубликаты.

Рассмотрим следующие коды для включения скриптов и стилей.

Не рекомендуется

 function include_scripts_styles(){

    echo ‘<script type="text/javascript" src="jquery.js"></script>’;

    echo ‘<link type="text/css" rel="stylesheet" href="styles.css" />‘;

}

рекомендуемые

 add_action('wp_enqueue_scripts', 'wppc_scripts');
function wppc_scripts() {
    wp_enqueue_script('jquery');
    wp_register_style('sample_style', plugins_url('styles.css', __FILE__));
    wp_enqueue_style('sample_style');
}

Поэтому вы должны предпочесть использовать плагины с более организованным разделом загрузки скриптов и стилей, чтобы избежать проблем с обслуживанием.

Вывод

Все, что включено в эту статью, основано на моем собственном опыте разработки WordPress. Я не знаю никого, от преданного любителя до опытного профессионала, который имеет необходимый опыт работы с каждым доступным плагином и как он будет работать в любой возможной производственной среде. Это, вероятно, даже невозможно.

Возможно использовать ваши профессиональные знания о том, как работает код, чтобы дать вам и вашему клиенту наилучший шанс избежать проблем с бесплатными плагинами WordPress. Существует дополнительная ответственность, чтобы поделиться своими знаниями с другими. Если вы обнаружите проблему, которая может повлиять на то, как другие используют плагин, сообщите об этом миру. Вероятно, лучший способ — воспользоваться возможностями, предоставляемыми разработчиком плагина, но вам также следует подумать о том, чтобы просто связаться с автором плагина и сообщить им, что вы узнали.

Я приглашаю разработчиков WordPress присоединиться к этой беседе и поделиться личным опытом использования бесплатных плагинов. Каковы ваши личные плюсы и минусы? Вы разработали свои собственные процедурные указания и правила техники безопасности? У вас есть правила в отношении плагинов, которые вы будете использовать или не будете использовать?

Я с нетерпением жду ваших комментариев и предложений.