这是一个修改过的检查表，基于我当前（正在进行的工作）的设置/用于审查主题的数据安全检查表（插件的原则应与主题的原则相同）：

插件应在所有选项、自定义函数、自定义变量和自定义常量前面加上插件slug。

插件应该有意识地实现插件选项和插件设置页面，而不是依赖于网站教程中的复制和粘贴脚本，例如以下那些已经过时且不包含适当数据安全性的脚本：

• http://www.1stwebdesigner.com/wordpress/how-to-create-an-options-page-for-your-wordpress-theme/
• http://wpshout.com/create-an-awesome-wordpress-theme-options-page-part-1add_options_page() 函数将插件设置页面添加到Settings 菜单，而不是使用add_menu_page() 添加顶级菜单。

  插件应使用适当的功能（例如。manage_options) 添加设置页面的功能。

  插件应该在单个数组中保存选项，而不是为设置页面创建多个选项。使用设置API（见下文）可以解决这一问题。

  插件应该使用设置API（见下文）来获取和保存表单输入数据，而不是依赖$_POST 和$_REQUEST 直接获取数据。

  对于复选框和选择选项，插件应使用checked() 和selected() 输出功能checked="checked" 和selected="selected", 分别地

• Plugins should validate and sanitize all untrusted data before entering data into the database, and should escape all untrusted data before being output in the Settings form fields and before being output in the Theme template files:
  • http://codex.wordpress.org/Data_Validationesc_attr() 对于文本输入和esc_html() （或esc_textarea() 在WP 3.1）中，用于文本区域。

    如果不使用设置API，插件应在检查时明确提供设置页面：

    • http://codex.wordpress.org/WordPress_Nonces
      • http://codex.wordpress.org/Settings_API

        • http://www.chipbennett.net/2011/02/17/incorporating-the-settings-api-in-wordpress-themes/

        • http://planetozh.com/blog/2009/05/handling-plugins-options-in-wordpress-28-with-register_setting/

        如果你想用一个安全可靠的主题设置页面签出一个主题，请签出这个主题：
        http://wordpress.org/extend/themes/coraline

这有两个方面：

1. Basic principles.

   <应该检查写入数据库的任何内容是否有SQL注入

2. Specifics.

   <现代WordPress非常重视安全性，旨在为开发人员提供便利

添加defined(\'ABSPATH\') or die(\'Access denied\'); 在wordpress直接使用的每个插件脚本中，添加空索引。在每个目录中添加php文件。插件目录中的htaccess，以及防止直接访问某些插件文件所需的说明