PHP para WordPress: qué aprender para crear plugins y funciones

Después del lenguaje tienes que aprender cómo WordPress utiliza PHP

Saber PHP no significa conocer automáticamente WordPress.

WordPress añade sus propias APIs, convenciones, ciclo de ejecución y estructuras.

Funciones del core

WordPress incluye funciones para trabajar con posts, usuarios, opciones, archivos, URLs, permisos y muchas otras áreas.

Hooks

Permiten ejecutar tu código sin modificar directamente el núcleo.

APIs

Plugins, settings, REST, cron, metadata y otras áreas poseen interfaces propias.

Esa es la diferencia entre simplemente conocer PHP y saber desarrollar para WordPress.

Actions permiten ejecutar código cuando WordPress alcanza un punto determinado

WordPress expone numerosos puntos durante su funcionamiento.

Puedes registrar una función para que se ejecute cuando ocurra determinado evento.

<?php

function ciborg_plugin_iniciado(): void
{
    // Código personalizado.
}

add_action(
    'init',
    'ciborg_plugin_iniciado'
);

El hook determina cuándo se ejecuta

En este ejemplo, WordPress llamará a nuestra función cuando se dispare el hook init.

Otros hooks se ejecutan al guardar contenido, cargar administración, iniciar determinadas partes del sistema o completar operaciones.

Action y filter no son simplemente dos nombres para lo mismo

Comprender bien esta idea abre la puerta a gran parte del desarrollo WordPress.

Un plugin puede comenzar con un único archivo PHP

Para comprender el concepto, no necesitas comenzar creando una arquitectura enorme.

<?php
/**
 * Plugin Name: Ciborg Ejemplo
 * Description: Plugin de aprendizaje.
 * Version: 1.0.0
 */

if (!defined('ABSPATH')) {
    exit;
}

function ciborg_mensaje_admin(): void
{
    echo '<p>Plugin activo.</p>';
}

add_action(
    'admin_notices',
    'ciborg_mensaje_admin'
);

La cabecera identifica el plugin

WordPress puede reconocerlo y mostrarlo en la administración.

ABSPATH evita determinado acceso directo

Es una comprobación habitual dentro de archivos PHP de plugins.

Después puedes dividir el plugin

Cuando crezca, puedes separar administración, lógica, integraciones, datos y presentación.

La programación orientada a objetos se vuelve útil cuando el plugin crece

Un plugin de veinte líneas probablemente no necesita una arquitectura compleja.

Pero un sistema con administración, APIs, datos, emails, cron y WooCommerce puede beneficiarse de una organización más clara.

Clases

Agrupan estado y comportamiento relacionado.

Interfaces

Permiten establecer contratos entre componentes.

Composición

Permite combinar servicios pequeños en lugar de crear enormes clases que hacen todo.

El código WordPress debe tratar los datos externos como no confiables

Formularios, URLs, APIs y usuarios pueden entregar información inesperada.

Sanitiza la entrada

<?php

$nombre = isset($_POST['nombre'])
    ? sanitize_text_field(
        wp_unslash($_POST['nombre'])
    )
    : '';

Escapa la salida

<p>
    <?php echo esc_html($nombre); ?>
</p>

Validar, sanitizar y escapar no son exactamente lo mismo

Cada operación responde a un problema diferente.

Por eso, seguridad WordPress no debería reducirse a memorizar una única función.

current_user_can() permite comprobar capacidades del usuario

No deberías asumir que cualquier usuario autenticado puede ejecutar una acción administrativa.

<?php

if (!current_user_can('manage_options')) {
    wp_die(
        'No tienes permisos para realizar esta acción.'
    );
}

Roles y capacidades no son exactamente lo mismo

Para programar, normalmente resulta más flexible comprobar capacidades en lugar de preguntar simplemente si alguien es “administrador”.

$wpdb permite trabajar con la base de datos cuando las APIs de más alto nivel no son suficientes

WordPress ya incluye funciones específicas para trabajar con posts, usuarios, opciones y metadata.

Siempre conviene comprobar primero si existe una API apropiada.

Cuando necesitas SQL personalizado aparece $wpdb

<?php

global $wpdb;

$tabla = $wpdb->prefix . 'ciborg_datos';

$resultado = $wpdb->get_row(
    $wpdb->prepare(
        "SELECT *
         FROM {$tabla}
         WHERE id = %d",
        $id
    )
);

Utiliza prepare para datos dinámicos

No insertes información del usuario directamente dentro de SQL.

No crees tablas propias por defecto

Antes evalúa si posts, post meta, user meta u otras estructuras existentes pueden resolver razonablemente el problema.

Las tablas propias tienen sentido cuando existe una necesidad real de modelo de datos o rendimiento.

PHP puede convertir WordPress en backend para otras aplicaciones

WordPress incluye una REST API que permite exponer información mediante HTTP.

Además, un plugin puede registrar endpoints personalizados.

<?php

add_action(
    'rest_api_init',
    function () {

        register_rest_route(
            'ciborg/v1',
            '/mensaje',
            [
                'methods'  => 'GET',
                'callback' => function () {
                    return [
                        'mensaje' => 'Hola desde WordPress'
                    ];
                },
                'permission_callback' => '__return_true',
            ]
        );

    }
);

permission_callback merece atención especial

En un endpoint que modifica o expone información sensible, no deberías permitir acceso público automáticamente.

Debes definir correctamente autenticación y permisos.

PHP permite personalizar WooCommerce mucho más allá de sus opciones visuales

WooCommerce añade su propio ecosistema sobre WordPress.

Productos

Puedes reaccionar a cambios, añadir información o modificar determinados comportamientos.

Carrito

Reglas, descuentos, cantidades y validaciones.

Checkout

Campos, validaciones, métodos y lógica de compra.

Pedidos

Estados, metadata, automatizaciones e integraciones.

Mi Cuenta

Endpoints, información y áreas personalizadas para clientes.

Composer también puede utilizarse dentro de proyectos WordPress

WordPress tiene sus propias convenciones, pero eso no significa que debas abandonar herramientas modernas del ecosistema PHP.

Dependencias

Un plugin puede utilizar paquetes externos cuando existe una buena razón.

Autoloading

Composer puede simplificar la carga de clases.

Namespaces

Ayudan a reducir conflictos entre nombres dentro de un ecosistema donde múltiples plugins se ejecutan juntos.

Qué aprender para pasar de usuario WordPress a desarrollador WordPress

La IA puede generar snippets de WordPress, pero entender PHP sigue siendo una ventaja

Puedes pedir a una IA que cree un shortcode, hook, endpoint o modificación de WooCommerce.

El problema aparece cuando no puedes evaluar lo generado.

Hooks incorrectos

Puede elegir un hook que funciona en otro momento del ciclo de WordPress.

Seguridad incompleta

Puede olvidar nonces, capabilities, sanitización o escape.

Consultas peligrosas

Una consulta puede funcionar y seguir siendo una mala implementación.

Arquitectura deficiente

Generar cientos de líneas dentro de functions.php no convierte el resultado en un buen plugin.

Qué evitar cuando aprendes PHP para WordPress

Aprender PHP para WordPress significa comprender dos capas: el lenguaje y la plataforma