使用nonce（不使用设置API时）

• WordPress Nonces (Codex)
• WordPress Nonces (Mark Jaquith)
• Improving security in WordPress plugins using Nonces (Vladimir Prelovac)
• 5 tips for using AJAX in WordPress > 3. Use nonces and check for permission (Gary Cao)

清理、验证和转义数据

Sanitize anything that could get in and out of (!) the database both front end and back end!

1. Validate 和sanitize 将数据输入数据库之前的所有不受信任的数据Escape 将所有不受信任的数据输出到设置窗体字段之前Escape 将所有不受信任的数据输出到主题模板文件之前
   • Data Validation (Codex)esc_attr() 对于文本输入和esc_html() 或esc_textarea() 用于文本区域。

     WordPress API还提供esc_url(), esc_url_raw(), esc_js() 和wp_filter_kses().

     Bad example:

     <?php $url = \'javascript:pwnd()\'; ?>
     <a href="<?php echo $url; ?>">anchor</a>
     

     Good example:

     <a href="<?php echo esc_url($url); ?>">anchor</a>
     

     以下是Mark Jaquith的精彩视频，介绍了转义函数的用法：
     • Theme & Plugin Security

只有小心地使用$\\u GET/$\\u POST/$\\u REQUEST，如果没有更好的API，插件和主题应该使用设置API来获取和保存表单输入数据，而不是依赖$_POST 和$_REQUEST 直接获取数据。

使用$wpdb->prepare

小心使用可能用于运行恶意代码的PHP函数

使用Theme Modification API

将数据保存在单个数组中

在添加和输出设置页面时，检查是否有适当的功能插件应使用适当的功能（例如。manage_options) 添加设置页面的功能。

主题应使用edit_theme_options 根据相应的功能添加设置页面。

• Roles and Capabilities (Codex)

使用最新的教程和信息；主题应故意实现选项和设置页面，并not 依赖于过时的复制和粘贴网站教程，这些教程不包括适当的数据安全性，例如下面列出的那些。

什么的示例not to do:

• How to create an options page for your wordpress theme （1stwebdesigner.com）

• Create an awesome WordPress theme options page part 1 （wpshout.com）

使用设置API（Use Settings API）插件和主题应使用设置API（Settings API），该API更易于使用，更安全，并能处理设置页面的大量繁重工作：

• Settings API (Codex)

有关使用设置API的良好教程，请参阅：

• Incorporating the Settings API in WordPress Themes (Chip Bennett)
• Handling Plugins Options in WordPress with register_setting() (Ozh Richard)
• WordPress Settings API Tutorial (Otto)

前缀函数和变量名称

主题应在所有选项、自定义函数、自定义变量和自定义常量前面加上主题slug。

对于复选框和选择选项，插件和主题应使用checked() 和selected() 输出功能checked="checked" 和selected="selected", 分别地

使用wp_safe_redirect() 而不是在指向同一域上的页面时直接调用php的header（）函数。

将设置页面添加到管理菜单的相应部分，插件应使用add_options_page() 函数将插件设置页面添加到Settings 菜单，而不是使用add_menu_page() 添加顶级菜单。

主题应使用add_theme_page() 函数将主题设置页面添加到Appearance 菜单，而不是使用add_menu_page() 添加顶级菜单。