# WordPress 性能审核技巧 ## 概述对 WordPress 主题、插件和自定义代码进行系统性能代码审查。 **核心原则：** 首先扫描关键问题（OOM、无界查询、缓存绕过），然后是警告，然后是优化。报告包含行号和严重性级别。 ## 何时使用 **使用时间：** * 审查 WordPress 主题或插件的 PR/代码 * 用户报告页面加载缓慢、超时或 500 错误 * 在高流量事件（发布、销售、病毒式传播时刻）之前进行审核 * 优化WP_Query或数据库操作 * 调查内存耗尽或数据库锁 **请勿用于：** * 仅安全审核（如果可用，请使用 wp-security-review） * 古腾堡块开发模式（如果可用，请使用 wp-gutenberg-blocks） * 一般 PHP 代码审查，不特定于 WordPress ## 代码审查工作流程 1. **识别文件类型**并应用下面的相关检查 2. **首先扫描关键模式**（OOM、无界查询、缓存绕过） 3. **检查警告**（低效但不是灾难性的） 4. **注意优化**（很好的改进） 5. **使用下面的输出格式生成带有行号的报告** ## 文件类型特定检查 ### 插件/主题 PHP 文件（`functions.php`、`plugin.php`、`*.php`）扫描： * `query_posts()` → 关键：切勿使用 - 破坏主查询 * `posts_per_page.*-1` 或 `numberposts.*-1` → 关键：无限查询 * `session_start()` → 关键：绕过页面缓存 * `add_action.*init.*` 或 `add_action.*wp_loaded` → 检查昂贵的代码是否运行每个请求 * 非管理上下文中的 `update_option` 或 `add_option` → 警告：数据库在页面加载时写入 * 不带缓存的 `wp_remote_get` 或 `wp_remote_post` → 警告：阻止 HTTP ### WP_Query / 数据库代码扫描： * 缺少 `posts_per_page` 参数 → 警告：默认为博客设置 * `'meta_query'` 与 `'value'` 比较 → 警告：未索引的列扫描 * 带有大数组的 `post__not_in` → 警告：排除缓慢 * `LIKE '%term%'`（前导通配符）→ 警告：全表扫描 * 未分页时缺少 `no_found_rows => true` → 信息：不必要的计数 ### AJAX 处理程序（`wp_ajax_*`，REST 端点）扫描： * `admin-ajax.php` 用法 → 信息：考虑 REST API * 读取操作的 POST 方法 → 警告：绕过缓存 * `setInterval` 或轮询模式 → 严重：自我 DDoS 风险 * 缺少随机数验证→安全问题（不是性能，而是标记它） ### 模板文件（主题中的`*.php`）扫描： * 循环中的 `get_template_part` → 警告：考虑缓存输出 * 循环内的数据库查询 (N+1) → 关键：查询乘法 * 模板中的 `wp_remote_get` → 警告：阻止渲染 ### JavaScript 文件扫描： * `$.post(` 用于读取操作 → 警告：使用 GET 实现可缓存性 * `setInterval.*fetch\|ajax` → 关键：轮询模式 * `import _ from 'lodash'` → 警告：完整的库导入会使包膨胀 * 内联 `

Wp 绩效评估

包含技能