Написав для себе — віддаю всім

WordPress

WP Bootstrapper

Чистка head, гарденінг і захист uploads.

WordPress друкує в head десяток рядків, які потрібні приблизно нікому: генератор із номером версії, RSD, wlwmanifest, shortlink, oEmbed-discovery, стилі емодзі. Gutenberg підключає свій CSS навіть там, де блоків немає. Усе це знімається фільтрами — питання в тому, що щоразу їх доводиться згадувати заново.

Це 48 перемикачів у семи вкладках, де кожен — один конкретний хук або константа ядра. Підписи так і написані: wp_generator, DISABLE_WP_CRON, should_load_separate_core_block_assets, big_image_size_threshold. Видно, що саме вимикається, і це можна перевірити за документацією WordPress.

1. Шапка документа

   Генератор версії, RSD, wlwmanifest, shortlink разом з HTTP-заголовком, посилання на фіди, стилі віджета коментарів, скрипт і стилі емодзі, dns-prefetch на s.w.org.

2. Гутенберг

   П'ятнадцять окремих перемикачів: wp-block-library та її тема, глобальні стилі, classic-theme-styles, патерни ядра, SVG-фільтри duotone в шапці, футері й адмінці, layout support, внутрішній контейнер групи.

3. Захист uploads

   У wp-content/uploads пишеться керований блок .htaccess, що забороняє виконання php, php3–php8, phtml і phar, і паралельно збирається web.config для IIS — через DOMDocument, а не склеюванням рядків, тому чужі правила у файлі переживають запис. Запис атомарний; щоденний крон і самоперевірка повертають захист, якщо файл підмінили.

4. Завантаження SVG

   SVG і SVGZ дозволені лише користувачеві з правом manage_options і перевіряються до потрапляння в uploads: спершу на script і foreignobject, обробники on* та javascript:, потім розбором через DOMDocument з вимкненою мережею. Окремий плагін для цього не потрібен.

5. Перебір авторів

   Запити ?author=1 та author_name віддають гостям 404, а канонічний редирект глушиться, щоб WordPress не підказав правильну адресу сам.

6. Вартість самого плагіна

   Усі налаштування лежать в одній опції та читаються один раз за запит. Залежностей немає взагалі: composer install не потрібен, репозиторій розгортається як є.

7. Авторам плагінів

   Усередині — власний атрибут #[Hook]: методи позначаються ним прямо в класі, а завантажувач один раз збирає мапу хуків через Reflection і компілює її в статичний файл — далі Reflection не працює, а об'єкт класу створюється лише в момент спрацьовування хука. Поруч — fluent Settings API на DTO, яким описані всі сім вкладок. Якщо пишете свої плагіни, форкати варто саме це.

PHP 8.4+ · WordPress 6.7+ · GPLv3 — kostyasorokin/wp-bootstrapper на GitHub

Телеграма

Telegram Integration

Події сайту — в Telegram, і вхід на сайт — із нього.

Пошта — поганий канал для сповіщення, на яке ніхто не відповідає. Вона повільна, падає у спам, а на сайті, чиєму серверу заборонено слати листи, не приходить зовсім. Telegram миттєвий, уже відкритий на телефоні й відповідає рівно на те питання, заради якого сповіщення існує.

Половина, яку ніхто не робить як слід, — зворотний шлях: вхід. Більшість плагінів вставляють копіпастний віджет логіна. Цей реалізує authorization code flow з PKCE і криптографічно перевіряє токен особи до того, як з'явиться сесія WordPress.

1. Сесія, яку не вкрасти на льоту

   Потік пам'ятає, який браузер його почав. Callback-посилання, скопійоване з чужого адресного рядка, не можна програти заново й отримати чужий акаунт: state-кука своя на кожен потік, і розбіжність обриває спробу, а не впускає когось усередину.

2. Дві прогалини, які лишає Telegram

   Він не повертає ні адреси пошти, ні надійного аватара. У нового акаунта пошта питається один раз, а фото профілю забирається лише по HTTPS і лише з хостів самого Telegram — імпорт картинки не можна перетворити на спосіб змусити сайт ходити за довільними адресами.

3. Сповіщення — за типами, а не списком

   Контент, коментарі, користувачі, медіа, безпека, оновлення й Site Health — у кожного свій перемикач, а WooCommerce додає замовлення, залишки та події кошика. Перший рядок кожного повідомлення збирається з налаштовуваного власником заголовка, а не із зашитого шаблону.

4. Він каже, коли зламаний

   Невдала доставка зберігає формулювання самого Telegram, чат призначення й розмір повідомлення — але ніколи не тіло: сповіщення може нести дані форми. Стан доставки віддається в Site Health, тож канал, що замовк, видно одразу, а не помічається з часом.

5. Спам-фільтр під наглядом

   Безперервна серія заявок Contact Form 7, відхилених як спам, трактується як свідчення про сам фільтр, а не про відправників. Справжній спам приходить хвилями; фільтр, що відхиляє все підряд, — ні. Ця різниця була оплачена на цьому самому сайті.

6. Авторам плагінів

   Інтеграції з іншими плагінами знаходяться скануванням каталогу й кешуються, а не живуть у списку, який хтось має не забути поправити. Хелпер кнопки входу повертає порожній рядок, коли плагін не завантажився, вхід вимкнено або відвідувач уже авторизований, — шаблон друкує його без жодної перевірки навколо.

GPLv3 — kostyasorokin/wp-telegram-integration на GitHub

WordPress

KS Projects

Архів портфоліо, який переживає тему, у якій його зробили.

Портфоліо зазвичай живе в темі: там оголошено тип запису, теги й усі кейси. Це працює до заміни теми — а тоді разом із нею зникає і весь архів, чого портфоліо робити не має за жодних обставин.

Це той самий архів, але окремим типом вмісту, з межею, проведеною у визначеному місці: плагіну належать дані та екрани редагування, темі — те, як усе це виглядає.

1. Заготовки, які тема перемагає ім’ям файлу

   Із плагіном їдуть три прості шаблони, щоб новий сайт виглядав портфоліо, а не стрічкою блогу. Тема перехоплює будь-який із них, просто маючи файл із тим самим іменем: нічого перемикати чи скасовувати не треба. Класів фреймворків у заготовках немає навмисно — заготовка зі своїм оформленням виглядала б недоречно в будь-якій темі, крім тієї, звідки вона походить.

2. Що кейсу потрібно насправді

   Два метабокси. Картка тримає коротке ім’я, підзаголовок і адресу, за якою робота вийшла у світ, — заголовок у портфоліо зазвичай ціле речення, а сітці потрібне ім’я. Титри тримають те, що просив клієнт, хто працював і що зроблено, — полями, а не написаним руками HTML, тому редизайн не означає правку кожного проєкту вручну.

3. Шаблон під кожен проєкт

   Одному кейсу потрібна галерея на всю ширину, іншому — довгий текст. Проєкт може назвати PHP-файл у темі, і той виводиться замість вмісту запису й тільки замість нього: заголовок, теги й титри лишаються за темою. Вимкнення шаблона одразу повертає версію з редактора, а зниклий файл відкочується до неї, а не залишає порожню сторінку.

4. Налаштування, якого навмисно немає

   Слаги в адресах змінювати можна. Імена типу запису й таксономії — ні: це ті самі рядки, під якими лежить кожен запис у базі, і винести їх у налаштування означало б дати спосіб втратити архів одним кліком. Задати їх, як і раніше, можна у wp-config.php — до появи першого проєкту й ніколи після.

5. Як він влаштований усередині

   Класи за PSR-4, і хук оголошено просто на методі, який його обробляє, а не в списку реєстрацій десь осторонь: за цим немає ні скомпільованого кешу, ні обходу тек, тому один файл каже, з чого плагін складається. API, до якого звертається тема, — один клас і один імпорт. Залежностей у рантаймі немає зовсім: репозиторій працює одразу після клонування.

6. Що проганяється перед релізом

   Статичний аналіз на найсуворішому рівні PHPStan, перевірка стандартів коду із записаною причиною біля кожного відступу та модульні тести на те, про що можна міркувати окремо. Дві перевірки існують тому, що інакше їхня поломка мовчазна: одна не пропускає автозавантажувач у постачанні, що розійшовся з вихідниками, друга — переклад, який відредагували, але не скомпілювали.

PHP 8.5+ · WordPress 6.7+ · GPLv3 — kostyasorokin/wp-ks-projects на GitHub