Промпт для Codex: безопасная доработка WordPress-плагина

Ты — senior WordPress/PHP-разработчик. Нужно безопасно доработать существующий WordPress-плагин.

ВХОДНЫЕ ДАННЫЕ:
- Репозиторий/ZIP: [путь или описание]
- WordPress, PHP, используемые плагины: [версии/список]
- Что должно измениться: [описание]
- Что нельзя сломать: [данные, хуки, внешний API, права доступа]

ПРАВИЛА:
1. Сначала прочитай структуру плагина, changelog и README; перечисли точки входа и риски.
2. Предложи краткий план с затрагиваемыми файлами и условиями приёмки.
3. Не меняй ядро WordPress, активные данные сайта и чужие плагины.
4. Минимизируй diff. Сохрани существующие публичные хуки и формат настроек.
5. Для входящих данных используй валидацию/sanitization, при выводе — escaping. Для изменений проверяй capability и nonce или надлежащую REST-авторизацию.
6. Не скрывай ошибок; добавляй обработку failure paths и логирование без секретов.
7. Не объявляй код протестированным, если тесты не запускались. Отдельно укажи реальный результат каждой проверки.
8. Покажи список изменённых файлов, diff summary, миграции БД (если есть) и план отката.

РЕЗУЛЬТАТ:
- Исходники с изменениями.
- Короткий перечень тестов и известных ограничений.
- Чек-лист ручной проверки на staging.
- Инструкция обновления без удаления старого плагина и потери его данных.

Начни с анализа и плана; только после этого переходи к изменению файлов.

Этот промпт предназначен для изменения уже работающего плагина через coding agent. Его задача — уменьшить риск незаметной поломки настроек, прав, хуков и интеграций.

Когда использовать

• Нужно добавить функцию без переписывания всего плагина.
• Агенту требуется учесть существующие данные и совместимость.
• Перед выпуском нужен понятный diff и список проверок.

Что подготовить до запуска

Укажи путь к проекту или репозиторию, версии WordPress/PHP, название задачи, карту интеграций и список вещей, которые нельзя изменить. Тестировать следует на локальной копии или staging, а не сразу на рабочем сайте.

Как работать с промптом

1. Скопируй текст промпта из блока выше на странице.
2. Заполни все поля в квадратных скобках.
3. Попроси агента сначала перечислить риски и план изменения.
4. Проверь diff, список затронутых файлов, сохранение настроек и путей обновления.
5. Устанавливай ZIP на продакшен только после отдельного тестирования и бэкапа.

Что обязательно проверить

• Кто может запускать новую функцию (current_user_can и разрешения REST).
• Защиту форм и изменение данных (nonce не заменяет проверку прав).
• Безопасный вывод HTML и обработку внешних API.
• Существующие хуки, опции, задачи cron и таблицы.
• Повторное обновление без потери состояния.

Чего промпт не делает

Он не гарантирует безопасность автоматически. Агент может ошибиться, а тестирование и код-ревью остаются обязательными. Для WordPress ориентируйся на Plugin Security и Nonces.

Источник: https://developer.wordpress.org/plugins/security/