Корисні поради для розробників на WordPress

Навіть трохи страшно, чи не правда? Після декількох хвилин роботи з цим кодом я послав автору теми електронний лист з посиланням на сторінку керівництва за стандартами кодування.

Як уникнути конфліктів імен функцій

Конфлікти імен відбуваються, коли функція має те ж ім’я, що і функція, яка вже була визначена раніше. Наприклад, якщо у вас в темі є функція get_the_post_terms(), і ви встановіть плагін, який містить функцію з тим же ім’ям, ви отримаєте щось на зразок:

Fatal error: Cannot redeclare get_the_post_terms() (previously declared in….

На жаль, це відбувається набагато частіше, ніж варто було б. Але таких конфліктів легко уникнути.

Для цього у нас є наступні варіанти:

1. Префікси функцій

Наприклад, якщо ваш плагін називається «WordPress Cool Plugin», ви можете використовувати префікс wcc_ для всіх його функцій.

Таким чином, у наведеному вище прикладі назву нашої функції буде виглядати, як wcc_get_the_post_terms().

Я також рекомендую вам використовувати префікси для CSS, або, принаймні, спробувати зробити його більш унікальним, щоб уникнути його зміни стилями інших плагінів.

2. Укладіть функції в клас

Можливо, ваш плагін настільки простий, що для нього навіть не потрібно клас, але ви все одно можете її створити, щоб організувати елементи. Мені особливо подобається використовувати одиночний шаблон проектування, але погляньте на наведений нижче приклад простого класу зі статичним методом:

class Wcc_Mailer {
static function send( $post_ID ) {
$friends = ‘[email protected]’;
mail( $friends,”New post!”, ‘Check my new post in’ . get_permalink( $post_ID ) );
return $post_ID;
}
}
add_action( ‘publish_post’, array( ‘Wcc_Mailer’, ‘send’ ) );

Як бачите, в цьому прикладі я просто використовував префікс імені класу, але моя функція називається «send». Це ім’я методу захищено від змін через глобальну область імен, сам метод не може викликатися безпосередньо. Щоб викликати його, мені потрібно буде зробити наступне:

Wcc_Mailer::send( $post_id );

Код коментарів

Коментарі до коду є кращим другом розробника. Можливо, ви не захочете коментувати кожну функцію або змінну, яку ви створюєте, але повірте мені, коли ваш код зростає — тим більше, коли в нього вбудовуються компоненти коду інших розробників — стає дуже складно визначати, що саме робить той чи інший фрагмент.

Крім того, як я вже говорив, WordPress є CMS з публічним використанням. Багато розробники будуть працювати з вашим кодом, і залишені для них підказки дуже допоможуть їм розібратися, що до чого.

Особисто я використовую для коментування функцій синтаксис PHPDoc, із застосуванням Sublime + Docblockr це робиться дуже просто.

Давайте подивимося, як хлопці з WordPress коментують функцію wp_mail(), розташовану у файлі wp-includes/pluggable.php:

/**
* Відправляє поштові повідомлення, аналогічні поштою PHP
*
* Повертає значення true не означає автоматично, що користувач отримав
* лист. Це тільки означає, що використаний метод виконав
* запит без помилок.
*
* Використання звернень ‘wp_mail_from’ і ‘wp_mail_from_name’ дозволяє
* задавати адресу відправника в наступному форматі ‘Name ‘,
* якщо задані обидва звернення. Якщо використано тільки звернення ‘wp_mail_from’,
* в адресі відправника буде вказувати тільки електронна пошта.
*
* Тип вмісту за промовчанням – ‘text/plain’, що не дозволяє використання HTML.
* Однак ви можете задати тип контенту електронних повідомлень, використавши
* фільтр ‘wp_mail_content_type’.
*
* Кодування за замовчуванням відповідає кодуванні застосовуваної в блозі. Інша
* кодування може бути встановлена через фільтр ‘wp_mail_charset’.
*
* @since 1.2.1
*
* @uses PHPMailer
*
* @param string|array $to Масив або розділений комами список e-mail адрес для розсилки листів.
* @param string $subject Тема листа
* @param string $message Текст повідомлення
* @param string|array $headers Опціонально. Додатковий заголовок.
* @param string|array $attachments Опціонально. Прикріплені файли.
* @return bool Завжди, коли вміст листа було відправлено успішно.
*/
function wp_mail( $to, $subject, $message, $headers = “, $attachments = array() ) {
[….]
// Відправлено!
try {
return $phpmailer->Send();
} catch ( phpmailerException $e ) {
return false;
}
}

Як бачите, вони описують те, що робить ця функція параметри, які їй необхідні і що вона повертає.
Досить інформативно, чи не правда?

Коментарі, що не призначені для використання тільки з PHP. В HTML, я наприклад, люблю використовувати в кінці великих блоків коду, тому мені набагато простіше потім орієнтуватися в коді.

В CSS я використовую коментарі, щоб розділити код на різні розділи.

Наприклад:

/*********************
ЗАГАЛЬНІ СТИЛІ
*********************/
body {
font-family: Arial;
color: #333;
}
/******************************************************************
СТИЛІ H1, H2, H3, H4, H5
******************************************************************/
h1, .h1 {
font-size: 2.5 em;
line-height: 1em;
font-family: $vag-bold;
}
/*********************
СТИЛІ МЕНЮ НАВІГАЦІЇ
*********************/
nav {
color:red
}
[…]

Поділіться з нами прийомами, які ви використовуєте в коментарях.

Поради з безпеки

До безпеки потрібно ставитися дуже серйозно! Якщо ваш плагін або тема стають популярними, повірте мені, ви не захочете, щоб з вашої вини були зламані тисячі сайтів.

Якщо ви думаєте, що я перебільшую, подивіться на дослідження Сһескмагх, проведені ними в 2013 році серед 50 кращих плагінів WordPress.

Тепер давайте розглянемо деякі поради з безпеки розробки для WordPress:

XSS-вразливості

Для запобігання XSS ми повинні зробити дві речі. Перевіряти безпеку вхідних даних і перевіряти безпеку вихідних даних.

Існує кілька методів для перевірки безпеки в залежності від даних і контексту, в якому вони використовуються. Загальне правило: ви не повинні довіряти будь-яким вводить даними, і не повинні довіряти будь-яких даних, що виводяться.

Для введення даних можна використовувати, наприклад, sanitize_text_field(), яка перевіряє неправильний текст UTF-8, конвертує в об’єкт одиночні символи <, прибирає всі теги, видаляє розриви рядків, відступи і зайві прогалини, а також прибирає октеты. Залежно від контексту, існують різні функції, які допоможуть вам убезпечити дані.

Те ж саме відбувається, коли ви виводите дані. Погляньте на наступний приклад того, як виводиться посилання: