{"id":20856,"date":"2026-10-07T17:36:00","date_gmt":"2026-10-07T15:36:00","guid":{"rendered":"https:\/\/www.lukaswojcik.com\/blog\/?p=20856"},"modified":"2026-09-30T12:13:32","modified_gmt":"2026-09-30T10:13:32","slug":"plugin-check-lokalnie-i-w-ci","status":"publish","type":"post","link":"https:\/\/www.lukaswojcik.com\/blog\/pl\/wordpress-plugins-tricks-pl\/tutorials-pl-wordpress-plugins-tricks-pl\/plugin-check-lokalnie-i-w-ci\/","title":{"rendered":"Plugin Check lokalnie i w CI: b\u0142\u0119dy wykryte przed recenzj\u0105"},"content":{"rendered":"

Ka\u017cda wtyczka zg\u0142oszona do katalogu WordPress.org przechodzi najpierw automatyczne skanowanie, a dopiero potem jej kod czyta kto\u015b z Plugins Team. Cz\u0119\u015b\u0107 uwag z recenzji da si\u0119 wykry\u0107 maszynowo: brak nag\u0142\u00f3wka z licencj\u0105, dane wypisywane bez escapowania, skrypt \u0142adowany z publicznego CDN, Text Domain niezgodna ze slugiem. Plugin Check, w skr\u00f3cie PCP, to narz\u0119dzie, kt\u00f3re WordPress.org publikuje w\u0142a\u015bnie w tym celu. Wed\u0142ug opisu uruchamia wi\u0119kszo\u015b\u0107 test\u00f3w stosowanych przy nowych zg\u0142oszeniach, i to na dowolnej instalacji WordPressa, zanim cokolwiek trafi do katalogu.<\/p>\n

Artyku\u0142 pokazuje Plugin Check 2.1.0 w trzech miejscach: w panelu administracyjnym, w wierszu polece\u0144 z WP-CLI oraz w workflow GitHub Actions opartym na oficjalnej akcji. Obiektem testu jest ma\u0142a wtyczka z celowo wprowadzonymi b\u0142\u0119dami. Przy ka\u017cdym b\u0142\u0119dzie podano test i kod wyniku zg\u0142oszony przez przebieg Plugin Check 2.1.0 w WordPressie 7.1.2, a nast\u0119pnie pokazano poprawion\u0105 wersj\u0119.<\/p>\n

Co sprawdza Plugin Check<\/h2>\n

Aktualna wersja w katalogu to 2.1.0 z 16 sierpnia 2026 roku. Wymaga WordPressa 6.3 i PHP 7.4; strona wtyczki podaje \u201eTested up to\u201d 7.0.6, podczas gdy bie\u017c\u0105ce wydanie WordPressa to 7.1.2. Wersja 2.1.0 wprowadzi\u0142a mi\u0119dzy innymi test wykrywaj\u0105cy zmiany raportowania b\u0142\u0119d\u00f3w PHP w czasie dzia\u0142ania.<\/p>\n

W kodzie wersji 2.1.0 klasa Default_Check_Repository<\/code> rejestruje 34 testy. Ka\u017cdy ma slug, na przyk\u0142ad late_escaping<\/code>, i nale\u017cy do jednej lub kilku kategorii. Istniej\u0105 dwa rodzaje test\u00f3w. Testy statyczne czytaj\u0105 kod bez jego wykonywania, najcz\u0119\u015bciej za pomoc\u0105 sniff\u00f3w PHP_CodeSniffer z WordPress Coding Standards lub z w\u0142asnego zestawu Plugin Check, a cz\u0119\u015bciowo za pomoc\u0105 w\u0142asnej logiki. Testy uruchomieniowe wykonuj\u0105 wtyczk\u0119, kt\u00f3ra musi by\u0107 aktywna, na wydzielonym zestawie tabel bazy danych i obserwuj\u0105 jej dzia\u0142anie; w 2.1.0 jest to pi\u0119\u0107 test\u00f3w wydajno\u015bci dotycz\u0105cych zasi\u0119gu i rozmiaru skrypt\u00f3w oraz arkuszy styl\u00f3w, a tak\u017ce strategii \u0142adowania.<\/p>\n\n\n\n\n\n\n\n\n\n
Kategoria (slug)<\/th>\nPrzyk\u0142adowe testy w 2.1.0<\/th>\n<\/tr>\n<\/thead>\n
General (general<\/code>)<\/td>\ni18n_usage<\/code>, php_error_reporting<\/code>, ai_provider<\/code><\/td>\n<\/tr>\n
Plugin Repo (plugin_repo<\/code>)<\/td>\nplugin_readme<\/code>, plugin_header_fields<\/code>, file_type<\/code>, offloading_files<\/code>, setting_sanitization<\/code>, prefixing<\/code>, plugin_review_phpcs<\/code>, trademarks<\/code><\/td>\n<\/tr>\n
Security (security<\/code>)<\/td>\nlate_escaping<\/code>, direct_file_access<\/code>, safe_redirect<\/code>, direct_db_queries<\/code>, direct_db<\/code><\/td>\n<\/tr>\n
Performance (performance<\/code>)<\/td>\nenqueued_scripts_in_footer<\/code>, performant_wp_query_params<\/code>, enqueued_scripts_scope<\/code>, non_blocking_scripts<\/code><\/td>\n<\/tr>\n
Accessibility (accessibility<\/code>)<\/td>\nbrak: kategoria jest zdefiniowana, ale \u017caden wbudowany test wersji 2.1.0 nie jest do niej przypisany<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Wszystkie testy bezpiecze\u0144stwa zarejestrowane w 2.1.0 maj\u0105 dodatkowo kategori\u0119 plugin_repo<\/code>, wi\u0119c przebieg ograniczony do Plugin Repo obejmuje ju\u017c escapowanie i bezpo\u015bredni dost\u0119p do plik\u00f3w. Ma to znaczenie, bo FAQ wtyczki stwierdza, \u017ce do przyj\u0119cia do katalogu wtyczka zazwyczaj musi przej\u015b\u0107 wszystkie testy kategorii Plugin Repo. Pozosta\u0142e kategorie opisano jako dodatkowe.<\/p>\n

Ka\u017cdy wynik ma typ ERROR<\/code> albo WARNING<\/code> oraz wag\u0119 (severity); domy\u015blnie wynosi ona 5, a brak licencji w nag\u0142\u00f3wku wtyczki test zg\u0142asza z wag\u0105 9. B\u0142\u0119dy oznaczaj\u0105 naruszenie wymaga\u0144 katalogu. Ostrze\u017cenia wskazuj\u0105 kod, kt\u00f3ry cz\u0119sto, cho\u0107 nie zawsze, stanowi problem: odczyt $_GET<\/code> bez Nonce jest nieszkodliwy przy parametrze s\u0142u\u017c\u0105cym tylko do wy\u015bwietlenia, a w obs\u0142udze formularza oznacza realn\u0105 luk\u0119. Typ ustala sam test. Zestaw regu\u0142 PHPCS w Plugin Check celowo obni\u017ca niekt\u00f3re sniffy do ostrze\u017ce\u0144, na przyk\u0142ad weryfikacj\u0119 Nonce i sanityzacj\u0119 danych wej\u015bciowych.<\/p>\n

Uruchamianie lokalne: panel i WP-CLI<\/h2>\n

Plugin Check jest instalowany tak jak ka\u017cda inna wtyczka. README projektu odradza u\u017cywanie go na stronie produkcyjnej, poniewa\u017c testy uruchomieniowe faktycznie wykonuj\u0105 sprawdzan\u0105 wtyczk\u0119. Po aktywacji w menu Narz\u0119dzia \u2192 Plugin Check pojawia si\u0119 ekran dost\u0119pny dla u\u017cytkownik\u00f3w z prawem zarz\u0105dzania wtyczkami. Zawiera list\u0119 wyboru wtyczki oraz pola wyboru kategorii i typ\u00f3w wynik\u00f3w. Wyniki s\u0105 grupowane wed\u0142ug plik\u00f3w, z wierszem, kolumn\u0105, typem, kodem i komunikatem; od wersji 1.8.0 da si\u0119 je wyeksportowa\u0107 do CSV, JSON lub Markdown.<\/p>\n

Przy cz\u0119stych przebiegach wygodniejsze jest polecenie WP-CLI. Jako argument przyjmuje slug wtyczki, \u015bcie\u017ck\u0119 albo adres URL pliku ZIP. Domy\u015blnie uruchamia tylko testy statyczne. Dla test\u00f3w uruchomieniowych README opisuje obej\u015bcie: --require<\/code> wczytuje plik cli.php<\/code> z Plugin Check, zanim wystartuje WordPress. Ponadto sprawdzana wtyczka musi by\u0107 aktywna; przy nieaktywnej wtyczce Plugin Check bez \u017cadnego komunikatu pomija testy uruchomieniowe, a --checks=enqueued_scripts_scope<\/code> ko\u0144czy si\u0119 wtedy komunikatem \u201edoes not exist\u201d.<\/p>\n

# Install and activate Plugin Check (2.1.0 at the time of writing).\nwp plugin install plugin-check --activate\n\n# All static checks for wp-content\/plugins\/lw-hello-banner.\nwp plugin check lw-hello-banner\n\n# Include runtime checks (plugin must be active): load cli.php before WordPress boots.\nwp plugin check lw-hello-banner --require=.\/wp-content\/plugins\/plugin-check\/cli.php\n\n# Limit the run to categories or to single checks.\nwp plugin check lw-hello-banner --categories=plugin_repo,security\nwp plugin check lw-hello-banner --checks=late_escaping,i18n_usage\n\n# Errors only, as one JSON array for scripts.\nwp plugin check lw-hello-banner --ignore-warnings --format=strict-json\n\n# Show result codes, then ignore one specific code.\nwp plugin check lw-hello-banner --format=csv --fields=code,message\nwp plugin check lw-hello-banner --ignore-codes=textdomain_mismatch\n\n# Checks for an update of an existing directory plugin.\nwp plugin check lw-hello-banner --mode=update\n\n# What is available in the installed version.\nwp plugin list-checks --format=csv\nwp plugin list-check-categories<\/code><\/pre>\n
Najwa\u017cniejsze opcje wp plugin check<\/code> w wersji 2.1.0:<\/p>\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
Opcja<\/th>\nDzia\u0142anie<\/th>\n<\/tr>\n<\/thead>\n
--checks=<\/code>, --exclude-checks=<\/code><\/td>\nuruchamia tylko wymienione testy albo je pomija<\/td>\n<\/tr>\n
--categories=<\/code><\/td>\nogranicza przebieg do kategorii, rozdzielonych przecinkami<\/td>\n<\/tr>\n
--ignore-codes=<\/code><\/td>\nukrywa pojedyncze kody wynik\u00f3w, np. textdomain_mismatch<\/code><\/td>\n<\/tr>\n
--ignore-warnings<\/code>, --ignore-errors<\/code><\/td>\nukrywa jeden z dw\u00f3ch typ\u00f3w wynik\u00f3w<\/td>\n<\/tr>\n
--format=<\/code><\/td>\ntable<\/code> (domy\u015blnie), csv<\/code>, json<\/code>, ctrf<\/code> oraz strict-table<\/code>, strict-csv<\/code>, strict-json<\/code>, strict-ctrf<\/code><\/td>\n<\/tr>\n
--fields=<\/code><\/td>\nwyb\u00f3r kolumn, np. code,message<\/code><\/td>\n<\/tr>\n
--exclude-directories=<\/code>, --exclude-files=<\/code><\/td>\npomija \u015bcie\u017cki przy skanowaniu plik\u00f3w; .git<\/code>, vendor<\/code>, vendor_prefixed<\/code>, vendor-prefixed<\/code> i node_modules<\/code> s\u0105 wykluczone domy\u015blnie<\/td>\n<\/tr>\n
--severity=<\/code>, --error-severity=<\/code>, --warning-severity=<\/code><\/td>\npokazuje tylko wyniki od okre\u015blonej wagi<\/td>\n<\/tr>\n
--mode=<\/code><\/td>\nnew<\/code> (domy\u015blnie) lub update<\/code>; w trybie aktualizacji nieaktualne \u201eTested up to\u201d jest ostrze\u017ceniem, a nie b\u0142\u0119dem<\/td>\n<\/tr>\n
--slug=<\/code><\/td>\nnadpisuje slug, z kt\u00f3rym por\u00f3wnywane s\u0105 Text Domain i readme<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n
Slugi test\u00f3w i kody wynik\u00f3w to dwie r\u00f3\u017cne rzeczy. --checks=i18n_usage<\/code> wybiera test, a --ignore-codes=WordPress.WP.I18n.TextDomainMismatch<\/code> ukrywa pojedyncze zg\u0142oszenie z tego testu. Do wyszukiwania kod\u00f3w dokumentacja CLI zaleca --format=csv --fields=code,message<\/code>. Dla skrypt\u00f3w wa\u017cny jest jeszcze jeden szczeg\u00f3\u0142: w kodzie wersji 2.1.0 polecenie wypisuje wyniki, ale z ich powodu nie ustawia kodu wyj\u015bcia oznaczaj\u0105cego b\u0142\u0105d. Skrypt pow\u0142oki, kt\u00f3ry ma si\u0119 zatrzyma\u0107 przy zg\u0142oszeniach, musi wi\u0119c sam przeanalizowa\u0107 wynik; w te\u015bcie polecenie zg\u0142osi\u0142o dla b\u0142\u0119dnego przyk\u0142adu dwana\u015bcie b\u0142\u0119d\u00f3w i mimo to zako\u0144czy\u0142o si\u0119 kodem wyj\u015bcia 0. Akcja dla GitHuba robi dok\u0142adnie to. Przy --format=json<\/code> przed ka\u017cdym plikiem stoi wiersz FILE: \u2026<\/code> z osobn\u0105 tablic\u0105 JSON, wi\u0119c ca\u0142o\u015b\u0107 nie jest poprawnym JSON-em; --format=strict-json<\/code> zwraca jedn\u0105 tablic\u0119, ale bez nazw plik\u00f3w. Bez zg\u0142osze\u0144 oba formaty wypisuj\u0105 tylko wiersz o powodzeniu.<\/p>\n
Przyk\u0142adowa wtyczka z wbudowanymi b\u0142\u0119dami<\/h2>\n
Przyk\u0142ad to jeden plik w katalogu wp-content\/plugins\/lw-hello-banner\/<\/code>, wi\u0119c slug brzmi lw-hello-banner<\/code>. Wtyczka wy\u015bwietla powitanie u g\u00f3ry strony, odczytuje opcjonalne imi\u0119 z adresu URL, dodaje pole notatki w Ustawienia \u2192 Og\u00f3lne i \u0142aduje ozdobny skrypt. Zawiera dziewi\u0119\u0107 celowych b\u0142\u0119d\u00f3w: brak readme.txt<\/code>, brak nag\u0142\u00f3wka licencji, Text Domain inn\u0105 ni\u017c slug, brak ochrony przed bezpo\u015brednim wywo\u0142aniem pliku, wywo\u0142anie error_reporting()<\/code>, register_setting()<\/code> bez sanityzacji, wypisywanie danych bez escapowania, t\u0142umaczony tekst z symbolem zast\u0119pczym, ale bez komentarza dla t\u0142umaczy, oraz skrypt z CDN bez wersji i bez argument\u00f3w \u0142adowania.<\/p>\n
<?php\n\/**\n * Plugin Name: LW Hello Banner\n * Description: Shows a greeting banner at the top of the front page.\n * Version:     0.1.0\n * Author:      Lukas Wojcik\n * Text Domain: hello-banner\n *\/\n\n\/\/ Intentionally faulty example for Plugin Check. Do not use on a live site.\n\nerror_reporting( E_ALL );\n\nfunction lw_hello_banner_register_setting() {\n\tregister_setting( 'general', 'lw_hello_banner_note' );\n\n\tadd_settings_field(\n\t\t'lw_hello_banner_note',\n\t\t__( 'Banner note', 'hello-banner' ),\n\t\t'lw_hello_banner_field',\n\t\t'general'\n\t);\n}\nadd_action( 'admin_init', 'lw_hello_banner_register_setting' );\n\nfunction lw_hello_banner_field() {\n\techo '<input type=\"text\" name=\"lw_hello_banner_note\" value=\"' . get_option( 'lw_hello_banner_note' ) . '\">';\n}\n\nfunction lw_hello_banner_assets() {\n\twp_enqueue_script( 'lw-hello-banner', 'https:\/\/cdn.jsdelivr.net\/npm\/canvas-confetti@1.9.3\/dist\/confetti.browser.min.js' );\n}\nadd_action( 'wp_enqueue_scripts', 'lw_hello_banner_assets' );\n\nfunction lw_hello_banner_render() {\n\t$name = isset( $_GET['lw_name'] ) ? $_GET['lw_name'] : 'Guest';\n\t$note = get_option( 'lw_hello_banner_note', '' );\n\n\techo '<div class=\"lw-hello-banner\"><p>' . sprintf( __( 'Hello, %s!', 'hello-banner' ), $name ) . ' ' . $note . '<\/p><\/div>';\n}\nadd_action( 'wp_body_open', 'lw_hello_banner_render' );<\/code><\/pre>\n
Co zg\u0142asza Plugin Check<\/h2>\n
Tabela zawiera zg\u0142oszenia, kt\u00f3re wp plugin check lw-hello-banner<\/code> z Plugin Check 2.1.0 w WordPressie 7.1.2 wypisuje dla tego przyk\u0142adu, \u0142\u0105cznie dwana\u015bcie b\u0142\u0119d\u00f3w i dziewi\u0119\u0107 ostrze\u017ce\u0144; przebieg z --require<\/code> daje t\u0119 sam\u0105 list\u0119. Numery wierszy pomini\u0119to; OutputNotEscaped<\/code> pojawia si\u0119 cztery razy, TextDomainMismatch<\/code> i NonceVerification.Recommended<\/code> po dwa razy.<\/p>\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
Kod wyniku<\/th>\nTest (kategoria)<\/th>\nTyp<\/th>\nPrzyczyna w przyk\u0142adzie<\/th>\n<\/tr>\n<\/thead>\n
no_plugin_readme<\/code><\/td>\nplugin_readme<\/code> (plugin_repo)<\/td>\nERROR<\/td>\nbrak readme.txt<\/code><\/td>\n<\/tr>\n
plugin_header_no_license<\/code><\/td>\nplugin_header_fields<\/code> (plugin_repo)<\/td>\nERROR<\/td>\nbrak nag\u0142\u00f3wka License<\/code><\/td>\n<\/tr>\n
textdomain_mismatch<\/code><\/td>\nplugin_header_fields<\/code> (plugin_repo)<\/td>\nWARNING<\/td>\nnag\u0142\u00f3wek podaje hello-banner<\/code>, slug to lw-hello-banner<\/code><\/td>\n<\/tr>\n
missing_direct_file_access_protection<\/code><\/td>\ndirect_file_access<\/code> (security, plugin_repo)<\/td>\nERROR<\/td>\nfunkcje i Hooki bez warunku ABSPATH<\/code><\/td>\n<\/tr>\n
WordPress.WP.I18n.TextDomainMismatch<\/code><\/td>\ni18n_usage<\/code> (general, plugin_repo)<\/td>\nERROR<\/td>\nwywo\u0142ania __()<\/code> z niew\u0142a\u015bciw\u0105 Text Domain<\/td>\n<\/tr>\n
WordPress.WP.I18n.MissingTranslatorsComment<\/code><\/td>\ni18n_usage<\/code> (general, plugin_repo)<\/td>\nERROR<\/td>\n%s<\/code> bez komentarza translators:<\/code><\/td>\n<\/tr>\n
PluginCheck.CodeAnalysis.PHPErrorReporting.DirectErrorReportingCall<\/code><\/td>\nphp_error_reporting<\/code> (general)<\/td>\nWARNING<\/td>\nerror_reporting( E_ALL )<\/code><\/td>\n<\/tr>\n
WordPress.PHP.DevelopmentFunctions.prevent_path_disclosure_error_reporting<\/code><\/td>\nplugin_review_phpcs<\/code> (plugin_repo)<\/td>\nWARNING<\/td>\nerror_reporting( E_ALL )<\/code><\/td>\n<\/tr>\n
PluginCheck.CodeAnalysis.SettingSanitization.register_settingMissing<\/code><\/td>\nsetting_sanitization<\/code> (plugin_repo)<\/td>\nERROR<\/td>\nregister_setting()<\/code> bez trzeciego argumentu<\/td>\n<\/tr>\n
WordPress.Security.EscapeOutput.OutputNotEscaped<\/code><\/td>\nlate_escaping<\/code> (security, plugin_repo)<\/td>\nERROR<\/td>\nget_option()<\/code>, __()<\/code>, $name<\/code> i $note<\/code> w echo<\/code><\/td>\n<\/tr>\n
PluginCheck.CodeAnalysis.EnqueuedResourceOffloading.OffloadedContent<\/code><\/td>\noffloading_files<\/code> (plugin_repo)<\/td>\nERROR<\/td>\nadres skryptu na cdn.jsdelivr.net<\/code><\/td>\n<\/tr>\n
WordPress.WP.EnqueuedResourceParameters.MissingVersion<\/code>, .NotInFooter<\/code><\/td>\nenqueued_scripts_in_footer<\/code> (performance)<\/td>\nWARNING<\/td>\nbrak wersji i pi\u0105tego argumentu<\/td>\n<\/tr>\n
WordPress.Security.NonceVerification.Recommended<\/code><\/td>\nplugin_review_phpcs<\/code> (plugin_repo)<\/td>\nWARNING<\/td>\n$_GET['lw_name']<\/code> bez weryfikacji Nonce<\/td>\n<\/tr>\n
WordPress.Security.ValidatedSanitizedInput.MissingUnslash<\/code>, .InputNotSanitized<\/code><\/td>\nplugin_review_phpcs<\/code> (plugin_repo)<\/td>\nWARNING<\/td>\n$_GET['lw_name']<\/code> u\u017cyte bez obr\u00f3bki<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n
\n\"Od
Plugin Check 2.1.0 dzieli testy na kategorie; b\u0142\u0119dy zatrzymuj\u0105 CI, ostrze\u017cenia trafiaj\u0105 do adnotacji<\/figcaption><\/figure>\n
Z tabeli wynikaj\u0105 trzy obserwacje. Po pierwsze, Text Domain jest zg\u0142aszana dwukrotnie, przez dwa r\u00f3\u017cne testy: test nag\u0142\u00f3wka por\u00f3wnuje pole Text Domain<\/code> ze slugiem i zg\u0142asza ostrze\u017cenie, a sniff i18n por\u00f3wnuje ze slugiem ka\u017cde wywo\u0142anie funkcji t\u0142umacz\u0105cej i zg\u0142asza b\u0142\u0105d. Po drugie, zg\u0142oszenia dotycz\u0105ce Nonce i sanityzacji nie pochodz\u0105 z kategorii Security, lecz z plugin_review_phpcs<\/code>, czyli przebiegu PHPCS z zestawem regu\u0142 recenzji Plugin Check; przebieg z --categories=security<\/code> ich nie poka\u017ce. Po trzecie, zestaw regu\u0142 zawiera r\u00f3wnie\u017c grup\u0119 sniff\u00f3w WordPress.PHP.DevelopmentFunctions<\/code> jako ostrze\u017cenie. Rzeczywi\u015bcie zg\u0142asza ona wiersz z error_reporting()<\/code> po raz drugi, jako prevent_path_disclosure_error_reporting<\/code>.<\/p>\n
Skrypt z CDN prowadzi do jeszcze jednej kwestii: testy uruchomieniowe zasi\u0119gu i strategii \u0142adowania skrypt\u00f3w oceniaj\u0105 wy\u0142\u0105cznie skrypty, kt\u00f3rych adres URL le\u017cy w katalogu wtyczki. Skrypt z CDN zg\u0142aszaj\u0105 wi\u0119c tylko testy statyczne, a przebieg z --require<\/code> daje t\u0119 sam\u0105 list\u0119 co przebieg bez niego. Testy uruchomieniowe maj\u0105 znaczenie dopiero dla poprawionej wersji z do\u0142\u0105czonym skryptem: bez warunku is_front_page()<\/code> Plugin Check zg\u0142asza go jako EnqueuedScriptsScope<\/code> (\u201eThis script is being loaded in all frontend contexts.\u201d), ale tylko w przebiegu z --require<\/code>.<\/p>\n
Poprawiona wersja<\/h2>\n
Poprawiona wtyczka sk\u0142ada si\u0119 z trzech plik\u00f3w: pliku g\u0142\u00f3wnego, readme.txt<\/code> i ma\u0142ego lokalnego skryptu w assets\/<\/code>. Plik g\u0142\u00f3wny dostaje pe\u0142ny nag\u0142\u00f3wek z licencj\u0105, Requires at least<\/code> i Text Domain lw-hello-banner<\/code>, a tak\u017ce warunek ABSPATH<\/code>. Wywo\u0142anie error_reporting()<\/code> znika. register_setting()<\/code> otrzymuje typ, sanitize_callback<\/code> i warto\u015b\u0107 domy\u015bln\u0105. Dane s\u0105 escapowane dopiero w miejscu wypisania, za pomoc\u0105 esc_attr()<\/code>, esc_html()<\/code> i esc_html__()<\/code>. Skrypt jest do\u0142\u0105czony do wtyczki, ma wersj\u0119 i \u0142aduje si\u0119 tylko na stronie g\u0142\u00f3wnej z in_footer<\/code> i strategy<\/code>. Tablicowa posta\u0107 pi\u0105tego argumentu wp_enqueue_script()<\/code> istnieje od WordPressa 6.3, co zgadza si\u0119 z zadeklarowan\u0105 wersj\u0105 minimaln\u0105.<\/p>\n
<?php\n\/**\n * Plugin Name:       LW Hello Banner\n * Description:       Shows a greeting banner at the top of the front page.\n * Version:           0.2.0\n * Requires at least: 6.3\n * Requires PHP:      7.4\n * Author:            Lukas Wojcik\n * License:           GPLv2 or later\n * License URI:       https:\/\/www.gnu.org\/licenses\/gpl-2.0.html\n * Text Domain:       lw-hello-banner\n *\/\n\nif ( ! defined( 'ABSPATH' ) ) {\n\texit;\n}\n\ndefine( 'LW_HELLO_BANNER_VERSION', '0.2.0' );\n\n\/**\n * Registers the banner note setting and its field on Settings > General.\n *\/\nfunction lw_hello_banner_register_setting() {\n\tregister_setting(\n\t\t'general',\n\t\t'lw_hello_banner_note',\n\t\tarray(\n\t\t\t'type'              => 'string',\n\t\t\t'sanitize_callback' => 'sanitize_text_field',\n\t\t\t'default'           => '',\n\t\t)\n\t);\n\n\tadd_settings_field(\n\t\t'lw_hello_banner_note',\n\t\t__( 'Banner note', 'lw-hello-banner' ),\n\t\t'lw_hello_banner_field',\n\t\t'general',\n\t\t'default',\n\t\tarray( 'label_for' => 'lw_hello_banner_note' )\n\t);\n}\nadd_action( 'admin_init', 'lw_hello_banner_register_setting' );\n\n\/**\n * Prints the input field for the banner note.\n *\/\nfunction lw_hello_banner_field() {\n\tprintf(\n\t\t'<input type=\"text\" class=\"regular-text\" id=\"lw_hello_banner_note\" name=\"lw_hello_banner_note\" value=\"%s\">',\n\t\tesc_attr( get_option( 'lw_hello_banner_note', '' ) )\n\t);\n}\n\n\/**\n * Loads the bundled script on the front page only.\n *\/\nfunction lw_hello_banner_assets() {\n\tif ( ! is_front_page() ) {\n\t\treturn;\n\t}\n\n\twp_enqueue_script(\n\t\t'lw-hello-banner',\n\t\tplugins_url( 'assets\/lw-hello-banner.js', __FILE__ ),\n\t\tarray(),\n\t\tLW_HELLO_BANNER_VERSION,\n\t\tarray(\n\t\t\t'in_footer' => true,\n\t\t\t'strategy'  => 'defer',\n\t\t)\n\t);\n}\nadd_action( 'wp_enqueue_scripts', 'lw_hello_banner_assets' );\n\n\/**\n * Prints the banner on the front page.\n *\/\nfunction lw_hello_banner_render() {\n\tif ( ! is_front_page() ) {\n\t\treturn;\n\t}\n\n\t\/\/ phpcs:ignore WordPress.Security.NonceVerification.Recommended -- Read-only display value, nothing is stored.\n\t$name = isset( $_GET['lw_name'] ) ? sanitize_text_field( wp_unslash( $_GET['lw_name'] ) ) : '';\n\tif ( '' === $name ) {\n\t\t$name = __( 'Guest', 'lw-hello-banner' );\n\t}\n\n\t$greeting = sprintf(\n\t\t\/* translators: %s: visitor name *\/\n\t\t__( 'Hello, %s!', 'lw-hello-banner' ),\n\t\t$name\n\t);\n\n\t$note = get_option( 'lw_hello_banner_note', '' );\n\n\techo '<div class=\"lw-hello-banner\"><p>' . esc_html( $greeting );\n\tif ( '' !== $note ) {\n\t\techo ' ' . esc_html( $note );\n\t}\n\techo '<\/p><button type=\"button\">' . esc_html__( 'Dismiss', 'lw-hello-banner' ) . '<\/button><\/div>';\n}\nadd_action( 'wp_body_open', 'lw_hello_banner_render' );<\/code><\/pre>\n
Imi\u0119 z adresu URL pozosta\u0142o celowo, w parametrze lw_name<\/code>: WordPress sam odczytuje name<\/code> jako slug wpisu, wi\u0119c ?name=Anna<\/code> zamienia stron\u0119 g\u0142\u00f3wn\u0105 w stron\u0119 404, na kt\u00f3rej is_front_page()<\/code> zwraca false. Przechodzi przez wp_unslash()<\/code> i sanitize_text_field()<\/code>, a pozosta\u0142e ostrze\u017cenie o Nonce wycisza komentarz phpcs:ignore<\/code>, kt\u00f3ry wskazuje sniff i podaje uzasadnienie. FAQ Plugin Check opisuje takie adnotacje jako przewidziany spos\u00f3b obs\u0142ugi fa\u0142szywych alarm\u00f3w PHPCS w konkretnym wierszu. Uzasadnienie jest tu zasadne tylko dlatego, \u017ce warto\u015b\u0107 niczego nie zmienia: nie jest zapisywana i nie uruchamia \u017cadnej akcji. W formularzu zapisuj\u0105cym dane potrzebne s\u0105 Nonce oraz sprawdzenie Capability, czym szczeg\u00f3\u0142owo zajmuje si\u0119 osobny artyku\u0142 z tej serii<\/a>.<\/p>\n
=== LW Hello Banner ===\nContributors: lukaswojcik\nTags: banner, greeting\nRequires at least: 6.3\nTested up to: 7.1\nRequires PHP: 7.4\nStable tag: 0.2.0\nLicense: GPLv2 or later\nLicense URI: https:\/\/www.gnu.org\/licenses\/gpl-2.0.html\n\nShows a short, dismissible greeting banner at the top of the front page.\n\n== Description ==\n\nLW Hello Banner prints a greeting on the front page. An optional note can be set under Settings > General.\n\n== Changelog ==\n\n= 0.2.0 =\n* Fix all findings reported by Plugin Check.\n\n= 0.1.0 =\n* Initial version.<\/code><\/pre>\n
Dwa szczeg\u00f3\u0142y readme wynikaj\u0105 bezpo\u015brednio z kodu testu. \u201eTested up to\u201d musi odpowiada\u0107 bie\u017c\u0105cej g\u0142\u00f3wnej wersji WordPressa, obecnie 7.1. Starsza warto\u015b\u0107 to b\u0142\u0105d dla nowych wtyczek i ostrze\u017cenie w trybie aktualizacji, a warto\u015b\u0107 z numerem poprawki, np. 7.1.2, jest zg\u0142aszana jako invalid_tested_upto_minor<\/code>. Test por\u00f3wnuje te\u017c licencj\u0119 w readme z licencj\u0105 w nag\u0142\u00f3wku wtyczki i zg\u0142asza r\u00f3\u017cnic\u0119 jako license_mismatch<\/code>, dlatego w obu plikach widnieje identyczny zapis. Pola readme i nag\u0142\u00f3wka wtyczki omawia osobny artyku\u0142 z tej serii<\/span>.<\/p>\n
\/\/ assets\/lw-hello-banner.js\n( function () {\n\tconst banner = document.querySelector( '.lw-hello-banner' );\n\tif ( ! banner ) {\n\t\treturn;\n\t}\n\n\tconst button = banner.querySelector( 'button' );\n\tif ( button ) {\n\t\tbutton.addEventListener( 'click', function () {\n\t\t\tbanner.hidden = true;\n\t\t} );\n\t}\n} )();<\/code><\/pre>\n
Plugin Check w GitHub Actions<\/h2>\n
Oficjaln\u0105 integracj\u0105 jest repozytorium WordPress\/plugin-check-action. Najnowsze wydanie to v1.1.9 z 11 sierpnia 2026 roku, a ruchomy tag v1<\/code> wskazuje obecnie na ten sam commit. To akcja typu composite. Kolejno konfiguruje Node 24, instaluje @wordpress\/env<\/code>, uruchamia instancj\u0119 WordPressa z katalogiem wtyczki zmapowanym do wp-content\/plugins<\/code>, instaluje Plugin Check z katalogu, a tak\u017ce wtyczki wymienione w Requires Plugins<\/code>, po czym wywo\u0142uje wp plugin check<\/code> z --format=json<\/code> i --require=.\/wp-content\/plugins\/plugin-check\/cli.php<\/code>. Testy uruchomieniowe s\u0105 wi\u0119c uwzgl\u0119dnione. Wed\u0142ug dokumentacji wp-env domy\u015blnie dzia\u0142a na Dockerze, dlatego standardowy runner Ubuntu jest naturalnym wyborem.<\/p>\n
Plik JSON analizuje skrypt Node. Ka\u017cdy wynik staje si\u0119 adnotacj\u0105 przy pliku, z kodem wyniku jako tytu\u0142em. Ka\u017cdy ERROR<\/code> ustawia kod wyj\u015bcia 1 i ko\u0144czy zadanie niepowodzeniem, ostrze\u017cenia pojawiaj\u0105 si\u0119 tylko jako adnotacje. Przy strict: true<\/code> ka\u017cdy wynik liczy si\u0119 jako b\u0142\u0105d. W pull requestach akcja dodaje lub aktualizuje komentarz z podsumowaniem, a surowy wynik zapisuje jako artefakt plugin-check-results<\/code>.<\/p>\n
Parametry wej\u015bciowe w v1.1.9: build-dir<\/code> (domy\u015blnie .\/<\/code>), checks<\/code>, exclude-checks<\/code>, categories<\/code>, exclude-files<\/code>, exclude-directories<\/code>, ignore-codes<\/code>, ignore-warnings<\/code>, ignore-errors<\/code>, include-experimental<\/code>, wp-version<\/code> (latest<\/code> lub trunk<\/code>), severity<\/code>, error-severity<\/code>, warning-severity<\/code>, include-low-severity-errors<\/code>, include-low-severity-warnings<\/code>, slug<\/code>, strict<\/code> i repo-token<\/code>. Parametry listowe przyjmuj\u0105 jeden wpis w wierszu.<\/p>\n
O sensowno\u015bci wynik\u00f3w decyduj\u0105 dwa szczeg\u00f3\u0142y. Akcja wyprowadza slug z ostatniego cz\u0142onu build-dir<\/code>. Przy domy\u015blnym .\/<\/code> jest to nazwa katalogu roboczego, kt\u00f3ra wed\u0142ug dokumentacji GitHuba odpowiada nazwie repozytorium, np. \/home\/runner\/work\/my-repo-name\/my-repo-name<\/code>. Je\u015bli repozytorium nazywa si\u0119 inaczej ni\u017c wtyczka, ka\u017cde wywo\u0142anie funkcji t\u0142umacz\u0105cej zostanie zg\u0142oszone. Ponadto test file_type<\/code> w 2.1.0 ostrzega przed katalogiem .github<\/code> wewn\u0105trz wtyczki i zg\u0142asza inne ukryte pliki. Sprawdzanie katalogu g\u0142\u00f3wnego repozytorium oznacza zatem testowanie plik\u00f3w, kt\u00f3re nigdy nie trafi\u0105 do wydania. Poni\u017cszy workflow buduje wi\u0119c za pomoc\u0105 git archive<\/code> katalog, kt\u00f3ry faktycznie zosta\u0142by wys\u0142any, z uwzgl\u0119dnieniem wpis\u00f3w export-ignore<\/code> w .gitattributes<\/code>, i przekazuje go jako build-dir<\/code>.<\/p>\n
# .github\/workflows\/plugin-check.yml\nname: Plugin Check\n\non:\n  pull_request:\n  push:\n    branches:\n      - main\n\npermissions:\n  contents: read\n  pull-requests: write # only for the summary comment on pull requests\n\njobs:\n  plugin-check:\n    runs-on: ubuntu-latest\n    steps:\n      - name: Checkout\n        uses: actions\/checkout@v7\n\n      # Build the folder that would be shipped, without .github and other\n      # development files (see export-ignore in .gitattributes).\n      - name: Build distributable plugin folder\n        run: |\n          mkdir -p build\n          git archive --format=tar --prefix=lw-hello-banner\/ HEAD | tar -x -C build\n\n      - name: Run Plugin Check\n        uses: wordpress\/plugin-check-action@v1\n        with:\n          # The folder name becomes the slug (text domain check, readme check).\n          build-dir: .\/build\/lw-hello-banner\n          wp-version: latest\n          # Optional filters, one entry per line:\n          # categories: |\n          #   plugin_repo\n          #   security\n          # exclude-checks: |\n          #   enqueued_scripts_scope\n          # ignore-codes: |\n          #   textdomain_mismatch\n          # Fail on warnings as well:\n          # strict: true<\/code><\/pre>\n
# .gitattributes: files that git archive leaves out of the build\n\/.gitattributes export-ignore\n\/.github        export-ignore\n\/.gitignore     export-ignore\n\/build          export-ignore<\/code><\/pre>\n
Uprawnienie pull-requests: write<\/code> jest potrzebne tylko do komentarza z podsumowaniem; wed\u0142ug tabel uprawnie\u0144 GitHuba obejmuje ono endpoint komentarzy. Bez niego akcja zapisze w logu ostrze\u017cenie przy komentowaniu, ale wyniki i tak przeanalizuje. Przy preferencji sta\u0142ych wersji warto zamiast v1<\/code> wskaza\u0107 wordpress\/plugin-check-action@v1.1.9<\/code> albo hash jego commitu.<\/p>\n
Ograniczenia i otwarte kwestie<\/h2>\n