当前位置：首页 > news >正文

WordPress Boost：AI辅助开发工具，提升WordPress项目内省与安全审计效率

news 2026/5/8 1:13:41

1. 项目概述：当AI助手遇上WordPress开发

如果你是一名WordPress开发者，或者正在管理一个基于WordPress构建的项目，那么你一定对这样的场景不陌生：为了修改一个功能，你需要花大量时间去翻看主题的functions.php文件，回忆某个过滤器钩子（filter hook）的具体名称和参数；或者为了排查一个安全问题，你得手动检查几十个插件文件，寻找潜在的SQL注入或XSS漏洞。更不用说，当你尝试使用像Claude Code或Cursor这样的AI编程助手时，由于它们对当前项目的上下文一无所知，生成的代码往往牛头不对马嘴，需要你反复修正。

这正是WordPress Boost诞生的背景。它不是一个插件，也不是一个主题，而是一个基于PHP的命令行工具，专门为“AI辅助的WordPress开发”这个场景而生。简单来说，它就像给你的AI编程助手（无论是Claude Code、Cursor、Windsurf还是其他支持MCP协议的编辑器）装上了一副“透视眼镜”，让AI能够“看见”并理解你整个WordPress项目的内部结构。

它的核心价值在于深度内省和安全审计。通过30多个专用工具，它能将你项目中注册的所有动作和过滤器钩子、自定义文章类型和分类法、数据库表结构、REST API端点、ACF字段组配置，甚至是WooCommerce的设置，以一种结构化的方式暴露给你的AI助手。同时，它还能对你的代码库进行安全扫描，检查常见的漏洞模式，并对整个站点的安全配置（如文件权限、HTTP头、登录安全等）进行评级。这一切，都是为了让你在向AI提问时，能得到更精准、更符合项目上下文、也更安全的代码建议。

2. 核心设计思路与架构解析

2.1 为什么是MCP协议，而不是一个插件？

初次接触WordPress Boost，你可能会问：这些功能做成一个WordPress后台插件，通过一个管理页面来展示，不是更直观吗？这恰恰是设计上的一个关键考量。

首先，目标用户不同。插件的交互对象是网站管理员或开发者本人，而WordPress Boost的交互对象是AI智能体。它需要一种机器可读、可高效通信的协议。Model Context Protocol正是为此而生，它定义了一套标准，让AI助手能够发现、调用外部工具并获取结构化数据。

其次，运行环境与安全性。插件运行在Web服务器环境中，受限于PHP的max_execution_time、内存限制以及Web服务器的超时设置。而作为命令行工具，WordPress Boost可以更从容地执行深度扫描和分析任务。更重要的是，安全性模型不同。让AI通过一个Web界面直接操作生产环境是极其危险的。而WordPress Boost通过MCP与本地编辑器集成，所有操作都发生在你的本地开发环境，并且工具内部有严格的安全限制（例如wp_shell仅允许在调试模式下运行，且禁用了危险函数）。

最后，无缝的开发者体验。对于使用Cursor、VS Code with Continue、Windsurf等现代编辑器的开发者来说，MCP服务器可以被自动发现和加载。这意味着你无需离开编辑器、无需打开浏览器，就能让AI助手获得项目全貌，实现真正的“上下文感知编程”。

2.2 核心工作原理：桥梁是如何搭建的？

WordPress Boost本质上是一个MCP服务器。它的工作流程可以清晰地分为几个层次：

通信层（MCP协议）：AI助手（客户端）通过标准输入输出（stdio）或HTTP，使用JSON-RPC格式的指令与WordPress Boost服务器通信。指令包括列出可用工具（tools/list）、调用工具（tools/call）等。
服务层（WordPress Boost Server）：这是工具的核心PHP程序。它解析MCP指令，根据指令调用对应的“工具”类方法。
环境层（WordPress引导）：这是最关键的一步。为了能调用get_post_types()、$wpdb等WordPress核心函数和对象，工具必须引导（bootstrap）整个WordPress环境。它通过定位并加载项目根目录下的wp-load.php文件来实现这一点。这就意味着，工具运行时拥有与一个普通WordPress页面请求几乎相同的权限和能力。
数据层（WordPress核心与数据）：引导成功后，工具便可以自由调用任何WordPress函数、访问数据库、检查已注册的钩子等，收集所需信息。
反馈层：将收集到的结构化数据（通常是数组或对象）整理成清晰的格式（如Markdown表格、列表），通过MCP协议返回给AI助手。

这个架构的优势在于“一次引导，多处使用”。一旦MCP服务器启动，AI助手可以在一次会话中多次、低延迟地查询不同信息，而无需每次都重新加载WordPress，效率极高。

注意：正因为工具需要引导整个WordPress环境，所以它必须从WordPress项目的根目录或子目录下运行，以确保能正确找到wp-load.php。项目通过向上递归查找wp-config.php或wp-load.php文件来自动确定WordPress根目录，这在实际使用中非常可靠。

2.3 与现有开发工具链的融合

你可能会担心引入这个工具是否会与现有工作流冲突。实际上，它的设计非常“无侵入”。

依赖管理：通过Composer以--dev模式安装，意味着它只是一个开发依赖，不会被打包到生产代码中。
项目配置：初始化命令（--init）只在项目根目录创建一个隐藏的.mcp.json配置文件。这个文件被许多支持MCP的编辑器自动识别，用于配置服务器连接。你的项目源代码不会因此被修改。
AI指南与技能：这些是独立的Markdown文件，安装在项目的.ai/目录下。它们是你的AI助手的“学习资料”，不会影响WordPress本身的运行。你可以根据团队规范自由地修改和扩充这些指南。

这种设计使得WordPress Boost可以轻松融入任何现有的WordPress开发流程，无论是传统的FTP+编辑器，还是现代的VS Code + Docker + Git工作流。

3. 从零开始：安装、配置与快速上手

3.1 环境准备与安装决策

在开始之前，请确保你的环境满足基本要求：

PHP 7.4+（建议使用8.0或更高版本以获得更好性能和特性支持）
WordPress 5.0+
Composer（用于安装和管理PHP依赖）

安装方式主要取决于你的项目是否已经使用Composer。

场景一：你的项目已使用Composer（推荐）这是最简洁的方式。进入你的WordPress项目根目录（即包含wp-content、wp-admin、wp-includes的目录），执行：

composer require thanoseleftherakos/wordpress-boost --dev

--dev参数是关键，它表明这个工具仅用于开发环境。安装完成后，运行初始化：

php vendor/bin/wp-boost --init

这个命令会做两件事：

在项目根目录创建.mcp.json文件，其中包含了启动MCP服务器的配置。
在项目根目录创建.ai/文件夹，并将预定义的AI指南（Guidelines）和技能（Skills）文件复制进去。

场景二：你的项目未使用Composer对于传统的、未使用Composer管理的WordPress项目（比如直接从WordPress.org下载的），你需要将WordPress Boost克隆到一个独立的位置。

# 克隆到用户目录或其他独立路径，不要放在WordPress项目内 git clone https://github.com/thanoseleftherakos/wordpress-boost.git ~/wordpress-boost cd ~/wordpress-boost composer install

然后，进入你的WordPress项目目录，使用绝对路径来运行初始化：

cd /path/to/your/wordpress-project php ~/wordpress-boost/bin/wp-boost --init

此时，你需要手动编辑生成的.mcp.json文件，将服务器命令的路径改为绝对路径：

{ "servers": { "wordpress-boost": { "command": "php", "args": ["/Users/你的用户名/wordpress-boost/bin/wp-boost"] } } }

实操心得：即使你的项目没有使用Composer管理核心WordPress，我也强烈建议在项目根目录初始化一个composer.json文件，哪怕只用来管理像WordPress Boost这样的开发工具。这能让依赖管理更清晰。你可以创建一个简单的composer.json，设置"require": {}，然后通过composer require --dev来安装工具。

3.2 初始化命令的灵活运用

wp-boost的--init命令有几个有用的变体，用于应对不同的初始化需求：

命令	作用	适用场景
`php vendor/bin/wp-boost --init`	完整初始化（创建.mcp.json + 安装AI文件）	首次安装，希望获得完整功能
`php vendor/bin/wp-boost --init --no-ai-files`	仅创建.mcp.json配置文件	已自定义AI文件，或不想使用预设指南
`php vendor/bin/wp-boost --guidelines-only`	仅安装AI指南到`.ai/guidelines/`	只想补充AI的“知识库”
`php vendor/bin/wp-boost --skills-only`	仅安装AI技能到`.ai/skills/`	只想补充AI的“操作手册”

例如，如果你所在团队已经有一套内部的WordPress开发规范文档，你可以先使用--init --no-ai-files创建MCP配置，然后将你们的规范文档整理成Markdown格式，放入.ai/guidelines/目录中。这样，AI助手既能通过MCP工具获取实时项目数据，又能参考你们团队的特定规范来生成代码。

3.3 与你的AI编辑器集成

初始化完成后，集成过程因编辑器而异，但通常都非常简单。

对于Cursor、VS Code（安装Continue插件）、Windsurf等：这些编辑器能够自动扫描项目根目录下的.mcp.json文件并加载其中配置的MCP服务器。你通常不需要做任何额外操作。打开项目后，稍等片刻，你的AI助手（如Cursor里的Composer）就应该能识别到WordPress Boost提供的工具了。你可以在AI聊天框中尝试输入“列出这个项目里所有的动作钩子”，看看它是否会调用相应的工具。

对于Claude Code：Claude Code需要通过命令行手动添加MCP服务器。在你的WordPress项目目录下运行：

claude mcp add wordpress-boost -- php vendor/bin/wp-boost

这个命令会告诉Claude Code：“当你在当前目录下工作时，可以通过执行php vendor/bin/wp-boost这个命令来启动一个名为wordpress-boost的MCP服务器。”

常见问题排查：如果集成后AI助手无法使用工具，请按以下步骤检查：
确认路径：确保你的命令行当前所在目录是WordPress项目根目录。
检查配置：打开.mcp.json，确认args中的路径指向正确的wp-boost可执行文件。对于全局安装（非Composer）的情况，务必使用绝对路径。
查看日志：部分编辑器（如Cursor）有MCP服务器日志输出。查看是否有错误信息，常见错误是找不到wp-load.php，这通常是因为从错误目录启动了编辑器或MCP服务器。
重启编辑器：添加或修改MCP配置后，尝试完全重启你的代码编辑器。

4. 核心工具详解与实战应用

安装配置好后，我们来深入看看WordPress Boost到底能做什么。其工具集大致可分为几类：站点内省、钩子分析、安全审计、数据生成以及针对ACF、WooCommerce等流行生态的专项工具。

4.1 深度内省：让你的AI助手“看清”项目结构

这是WordPress Boost最基础也是最强大的功能。想象一下，你可以直接问AI：“我这个主题注册了哪些自定义文章类型？”或者“save_post这个钩子上挂了哪些回调函数，优先级分别是多少？” 它都能通过调用相应的工具，给你准确的答案。

实战场景：理解一个陌生主题的钩子系统假设你接手了一个老项目，主题的functions.php有上千行代码，里面充满了add_action和add_filter。你想知道在wp_head动作中到底执行了哪些函数。

你可以让AI助手调用list_hooks工具，它会返回一个包含所有已注册钩子的列表。然后，你可以进一步针对wp_head，使用get_hook_callbacks工具。这个工具返回的将是一个结构清晰的表格，包含回调函数名、所属对象（如果是类方法）、优先级以及接受的参数数量。这对于调试执行顺序或移除某些不必要的输出至关重要。

数据库结构探查在编写自定义查询或理解插件创建的表时，database_schema工具非常有用。它不仅仅列出WordPress核心表，还会列出所有插件创建的自定义表，并显示每个表的字段名、类型、是否为空、键信息等。AI助手可以利用这些信息，为你生成语法正确、考虑了表结构的SQL查询片段，或解释某个插件的数据存储逻辑。

4.2 安全审计：从代码到配置的全面体检

安全功能分为两个层面：代码安全扫描和站点安全审计。

代码安全扫描 (security_audit)这个工具会扫描指定目录（默认是wp-content）下的PHP文件，使用简单的模式匹配来寻找潜在的安全漏洞，例如：

SQL注入：查找未使用$wpdb->prepare()的SQL查询字符串拼接。
跨站脚本（XSS）：查找未使用esc_html、esc_attr等函数进行转义的echo或print语句中的变量。
文件包含：查找使用未经验证的用户输入作为参数的include或require。
不安全的反序列化等。

重要提示：这个扫描器是基于模式的静态分析，不能替代专业的安全审计工具（如SonarQube、PHPStan配合安全规则集）。它更适合作为开发过程中的一个快速检查环节，帮助发现一些明显的“低级错误”。对于复杂的漏洞，它可能会产生误报或漏报。它的价值在于让开发者和AI在编写代码时，就有一个基础的安全检查意识。

站点安全审计 (site_security_audit)这个工具从整体环境角度进行检查，并给出一个从A到F的评级。它检查的项目包括：

信息泄露：是否关闭了WP_DEBUG和WP_DEBUG_DISPLAY（生产环境）。
XML-RPC：这个历史遗留的远程调用接口是否被禁用（除非需要）。
登录安全：是否限制了登录尝试次数（防止暴力破解）。
配置文件：wp-config.php的权限是否安全（如644）。
核心、主题、插件更新：是否有可用更新。
目录浏览：是否禁止了服务器目录列表。
HTTP安全头：如X-Frame-Options,X-Content-Type-Options等是否设置。

审计报告会详细列出每个检查项的结果、风险等级和建议修复措施。你可以直接让AI助手根据这份报告，生成修复某些问题的具体代码片段或.htaccess规则。

4.3 数据生成：快速创建逼真的测试环境

在开发主题或插件时，我们经常需要测试数据来验证布局、功能或性能。手动创建几十篇不同分类、不同标签、带有特色图片的文章非常耗时。WordPress Boost集成了fakerphp/faker库，提供了一系列数据生成工具。

要使用此功能，你需要先安装可选依赖：

composer require fakerphp/faker --dev

之后，你就可以让AI助手执行诸如“生成10篇属于‘新闻’分类的测试文章，内容随机，并发布”这样的指令。AI会调用create_posts工具，并传递相应的参数（数量、状态、分类等）。这对于以下场景特别有用：

主题开发：快速填充内容，测试各种文章模板的显示效果。
插件测试：生成大量用户、订单（配合WooCommerce）、评论等，测试插件的性能和数据处理逻辑。
演示站点搭建：为客户快速搭建一个内容丰富的演示站。

注意事项：数据生成工具仅限在开发或测试环境中使用。切勿在生产环境中运行，因为它会向你的数据库插入真实的随机数据。建议在运行前备份数据库，或使用像WP Migrate DB这样的工具将生成的数据同步到其他环境。

4.4 专项生态支持：ACF与WooCommerce

对于使用Advanced Custom Fields (ACF)和WooCommerce的项目，WordPress Boost提供了专门的工具集。

ACF集成当检测到ACF插件激活时，你可以使用list_acf_field_groups列出所有字段组，甚至获取每个字段的详细配置。从ACF 6.8+开始，ACF自身集成了AI访问和Schema.org元数据支持，WordPress Boost的get_acf_ai_status工具可以报告这些功能的启用状态。这对于需要根据ACF字段结构生成前端组件代码或GraphQL模式的场景帮助巨大。

WooCommerce集成同样，当WooCommerce激活时，你可以查询商店设置(woo_info)、已注册的产品类型(list_product_types)、支付网关和配送方式。woo_schema工具能展示WooCommerce复杂的数据库表关系（如wp_posts与wp_wc_order_*系列表的关系），帮助AI理解数据模型，从而生成正确的订单查询或产品循环代码。

5. AI指南与技能：赋能你的编程伙伴

除了通过MCP工具提供实时数据，WordPress Boost的另一个核心组件是预置的AI指南（Guidelines）和技能（Skills）。它们被安装在项目的.ai/目录下，是纯文本的Markdown文件，旨在“教育”你的AI助手，让它更懂WordPress开发的最佳实践。

5.1 指南 vs. 技能：有何不同？

指南 (Guidelines)：位于.ai/guidelines/，是知识性文档。它们告诉AI“应该怎么做”和“为什么这么做”。例如，wordpress-core.md会解释WordPress的编码标准、如何使用WP_Query、安全转义函数的使用场景等。security.md会强调输入验证、输出转义、nonce使用等安全原则。你可以把这些指南看作是给AI助手的“开发规范手册”。
技能 (Skills)：位于.ai/skills/，是操作性模板。它们告诉AI“具体如何实现”某个功能。例如，theme-development技能可能包含创建主题基础文件结构、注册菜单、添加主题支持的代码模板。plugin-development技能可能包含插件头注释、主类结构、钩子注册的标准写法。技能更像是可复用的“代码配方”或“脚手架生成器”。

5.2 如何有效利用和自定义这些文件？

预置的文件是一个很好的起点，但真正的威力在于自定义。你的项目或团队很可能有自己独特的约定和习惯。

自定义指南打开.ai/guidelines/下的文件，例如theme-development.md。你会发现里面已经有一些关于模板层级、get_template_part使用的建议。你可以在此基础上，添加你们团队的特定规则：

“在本项目中，所有CSS类名命名采用BEM方法论，格式为.block__element--modifier。”
“JavaScript代码必须通过wp_enqueue_script引入，并依赖jquery。”
“所有自定义函数都必须加上项目前缀myproject_，以避免与其他插件冲突。”

当你下次让AI助手“为首页创建一个新的内容区块”时，它生成的代码就会自动遵循这些你添加的规则。

创建自定义技能假设你的项目大量使用了一种特定的自定义文章类型和分类法组合。你可以在.ai/skills/下创建一个名为custom-post-type-news.md的文件，内容如下：

# 创建新闻自定义文章类型和分类法 当需要创建或修改‘新闻’相关功能时，请遵循以下结构： ## 注册文章类型 使用 `register_post_type` 函数，参数应包括： - `'public' => true` - `'has_archive' => true` - `'menu_icon' => 'dashicons-media-document'` - `'supports' => ['title', 'editor', 'thumbnail', 'excerpt']` - `'rewrite' => ['slug' => 'news']` ## 关联的分类法 新闻应关联‘新闻分类’分类法，使用 `register_taxonomy` 注册： - `'hierarchical' => true` - `'show_admin_column' => true`

这样，当你对AI说“帮我创建一个新闻系统”时，它就能调用这个技能，生成符合你项目标准的代码。

实操心得：不要一次性把所有规则都塞给AI。开始时可以只使用基础指南。在开发过程中，当你发现AI反复犯同一个错误（比如忘记加前缀），再把对应的规则补充到指南中。这种渐进式的“训练”效果更好。同时，定期和团队成员一起Review和更新这些.ai/文件，能让整个团队的开发输出更一致。

6. 高级用法与安全边界探讨

6.1`wp_shell`：在WordPress上下文中执行PHP代码

wp_shell是一个强大但需要谨慎使用的工具。它允许你在当前WordPress环境上下文中执行一段PHP代码，并立即看到结果。这对于调试、快速测试一个函数或查询非常方便。

安全机制：

调试模式限制：wp_shell仅在WP_DEBUG设置为true时可用。这确保了它不会在生产环境中被意外调用。
危险函数黑名单：工具内部禁用了exec,shell_exec,system,passthru,eval,create_function等可以执行系统命令或动态代码的函数。
无文件写入：代码片段不能执行文件写入操作，防止对服务器文件系统的破坏。

使用场景示例：

测试一个过滤器：你想知道the_content过滤器应用后的结果，可以输入echo apply_filters('the_content', '你的测试内容');。
快速查询：$users = get_users(['role' => 'editor']); print_r($users);。
检查选项：var_dump(get_option('my_custom_option'));

警告：尽管有安全限制，wp_shell本质上仍然是执行任意PHP代码。绝对不要在共享主机、不信任的环境，或包含敏感数据的生产数据库连接上启用WP_DEBUG并使用此功能。它应严格限于本地或受控的开发/测试环境。

6.2 数据库查询 (`database_query`) 的安全考量

database_query工具允许你执行SELECT查询。所有查询都通过WordPress的$wpdb->prepare()方法进行参数化处理，这从根本上防止了SQL注入。然而，它仍然有风险：

性能风险：一个未经优化的SELECT * FROM wp_posts可能会在数据量大的站点上导致内存耗尽或超时。工具内部可能设置了行数限制，但仍需注意。
信息泄露：即使只是SELECT，也可能暴露用户邮箱、哈希密码（虽然密码字段通常不会被选出）等敏感信息。

因此，这个工具的最佳用途是让AI助手生成查询语句供你审查，而不是直接执行未知或复杂的查询。例如，你可以问：“生成一个查询，获取上个月发布的所有‘产品’类型文章，只返回ID和标题。” AI会生成相应的SQL，你可以检查确认后再手动执行或让工具执行。

6.3 与WordPress Abilities API的协同

从WordPress 6.9开始，核心引入了Abilities API，这是一种声明式API，允许插件和主题向外部系统（如AI助手）安全地暴露其功能。WordPress Boost的abilities_status和list_abilities等工具，可以帮助你查看当前站点注册了哪些“能力”。

这代表了未来AI与WordPress集成的一个方向：插件开发者可以按照标准方式声明自己的“能力”（如“创建一个产品”、“发送一个新闻通讯”），AI助手则可以通过MCP这样的协议发现并安全地调用这些能力。WordPress Boost在此扮演了“适配器”和“发现层”的角色，让你能提前体验和测试这一未来生态。

7. 常见问题、故障排除与最佳实践

在实际使用中，你可能会遇到一些问题。以下是一些常见情况的排查思路和解决方案。

7.1 工具调用失败或返回空数据

问题现象	可能原因	解决方案
AI助手提示“无法连接到MCP服务器”或“工具不可用”。	1. 编辑器未正确加载`.mcp.json`。 2.`wp-boost`命令路径错误。 3. PHP环境问题。	1. 确认在项目根目录打开编辑器。重启编辑器。 2. 检查`.mcp.json`中的`args`路径。对于全局安装，确保是绝对路径。 3. 在终端手动运行`php vendor/bin/wp-boost --version`，看PHP是否能正常执行。
调用`list_hooks`等工具返回空数组或很少数据。	WordPress环境未正确引导。工具可能没有在WordPress目录下运行，或`wp-load.php`路径不对。	确保你的命令行或编辑器的工作目录是WordPress根目录。`WordPress Boost`会向上递归查找`wp-config.php`。可以在工具中尝试调用`site_info`，看是否能正确获取到WordPress版本等信息来验证引导是否成功。
特定工具（如ACF、WooCommerce相关工具）返回“未激活”或空数据。	对应的插件未激活。	这些工具依赖于检测到相应的插件常量或函数。请确保在运行工具的WordPress环境中，这些插件是已激活状态。你可以通过`site_info`工具查看已激活的插件列表。
`wp_shell`工具不可用或返回“禁用”错误。	`WP_DEBUG`未设置为`true`。	在`wp-config.php`中定义`define('WP_DEBUG', true);`。切记，仅限开发环境。

7.2 性能与使用建议

大型项目扫描慢：对于拥有数百个插件和主题的大型站点，首次运行list_hooks或security_audit可能会比较慢，因为它需要加载所有文件。这是正常现象。考虑在需要时针对特定目录进行扫描。
选择性安装AI文件：如果你觉得预置的AI指南和技能不符合你的习惯，或者项目很简单，可以使用--init --no-ai-files跳过安装。这能保持项目根目录的整洁。
将.ai/目录加入.gitignore：团队中每个成员的编码习惯和对AI的“训练”可能不同。建议将.ai/目录添加到项目的.gitignore文件中，避免个人化的指南和技能污染版本库。团队共享的规范可以放在一个独立的文档中，或通过其他方式同步。
结合其他工具使用：WordPress Boost不是银弹。将它与你现有的工具链结合：
- 代码质量：配合PHP_CodeSniffer、PHPStan进行静态分析。
- 版本控制：所有生成的代码都必须经过人工审查后再提交。
- 安全审计：对于严肃的项目，仍需使用专业的SAST（静态应用安全测试）工具进行深度扫描。

7.3 一个完整的工作流示例

假设你正在开发一个需要添加自定义用户注册字段的功能。

探索上下文：你首先可以问AI：“查看当前站点激活了哪些插件？” AI调用list_plugins，你发现站点使用了BuddyPress。这可能会影响用户字段的处理方式。
学习最佳实践：AI会根据.ai/guidelines/plugin-development.md中的指南，知道应该使用user_contactmethods过滤器或show_user_profile动作来添加字段，并且需要对字段进行消毒（sanitization）。
检查现有钩子：你让AI“列出所有与用户相关的动作钩子”，通过search_hooks工具查看是否有profile_update或user_register等钩子已被其他插件占用，避免冲突。
生成代码：AI结合上下文（使用了BuddyPress）和指南，生成一段初步代码，使用xprofile_field相关的BuddyPress函数来添加字段。
安全审查：你让AI“检查我刚写的这段代码是否有安全问题”。AI可以调用security_check_file工具（如果你将代码保存为临时文件），或者基于指南中的安全规则进行逻辑分析，提示你需要对用户输入进行验证和非ces处理。
测试数据：功能写好后，你可以让AI“生成5个测试用户”，使用create_users工具快速填充数据，测试前端显示和表单提交。