wp-rest-api – WordPress REST API 开发 Skill

Skill 详细介绍

automattic/agent-skills#wp-rest-api 是 Automattic 官方 agent-skills 仓库中的一个 Skill，名称可以识别为 wp-rest-api。从名称和所属仓库可以直接判断，它面向 WordPress 的 REST API 相关任务。

需要先说明的是：我当前无法访问 GitHub 读取该 Skill 的 SKILL.md 原文、README 或官方文档，因此下面关于功能范围、工作方式、是否依赖外部服务等描述，都基于该 Skill 的名称、所属仓库（Automattic 官方 agent-skills）以及 WordPress REST API 本身的通用事实来组织。涉及具体命令、参数、依赖版本、安装细节等内容，本文不会编造，请以该 Skill 当前官方说明为准。

它是什么

• 一个面向 WordPress REST API 的 Agent Skill，属于 Automattic 官方 agent-skills 仓库。
• 用于让 AI Agent 在处理 WordPress REST API 相关任务时，具备更明确的操作指引和上下文知识。
• 本质属于指令集 / 工作流性质的 Skill，不是一个可以独立运行的软件或服务。

它不是什么

• 不是 WordPress 本体，也不是 WordPress 官方插件。
• 不是独立的 CLI 工具或 npm / pip 包。
• 不能代替一个正在运行的 WordPress 站点，也不能脱离 WordPress 环境去“操作”数据。
• 不是 WordPress 网站的托管或建站工具。

核心用途与解决的问题

• 让 Agent 在处理 WordPress REST API 相关请求时，知道该调用哪些端点、遵循什么约定、注意什么权限与认证问题。
• 减少 Agent 在 WordPress API 场景下随意编造端点、参数或字段的情况。
• 把“和 WordPress 站点交互”这类任务，从笼统的 HTTP 请求，收敛到 WordPress 官方 REST API 的规范用法上。

典型任务方向（基于 WordPress REST API 的通用事实）

• 查询、创建、更新、删除文章（posts）、页面（pages）、分类（categories）、标签（tags）、评论（comments）等 WordPress 核心资源。
• 通过 REST API 与用户、媒体库、站点设置等资源交互。
• 处理 WordPress REST API 的认证方式（如 Application Passwords、Cookie 认证、OAuth 等），具体以官方说明为准。
• 搭建或调试与 WordPress 站点对接的自动化脚本、集成流程。

适合的用户

• 使用 WordPress 建站，并希望通过 API 做自动化的开发者或站长。
• 需要让 AI Agent 协助编写、调试 WordPress REST API 请求的人。
• 在做 WordPress 与其他系统集成时，希望 Agent 给出规范端点与参数的人。

不适合的需求

• 想直接用这个 Skill 搭建 WordPress 站点。
• 没有 WordPress 环境、也不想调用任何 WordPress 站点的纯前端或纯数据库任务。
• 期望这个 Skill 自带 WordPress 站点连接、账号或托管服务 —— 它不提供这些。

因为无法读取官方 SKILL.md，关于该 Skill 的具体触发方式、内置指令、支持的端点清单等细节，目前没有足够信息确认，请以官方仓库说明为准。

Skill 安全评估

总体判断：来源可信度较高（Automattic 官方仓库），Skill 本身本质上是一份面向 WordPress REST API 的指令集合。真正的安全风险，主要取决于它调用 WordPress 站点时用到的认证凭证和网络行为，以及 Agent 是否被允许自动执行请求。

来源可信度

• 该 Skill 属于 Automattic 官方 agent-skills 仓库。Automattic 是 WordPress.com 与 WordPress 生态背后的公司，来源可信度相对较高。
• 但仍需注意：官方仓库中包含的是指令 / 文档类内容，Agent 实际执行的动作仍需用户自己把关。

可能涉及的行为与风险点

• 网络访问：与 WordPress REST API 交互必然涉及对目标站点的 HTTP 请求。这是该 Skill 正常用途的一部分，本身不构成异常。
• 认证凭证：如果按照 Skill 建议的方式调用需要认证的接口，可能涉及 Application Password、Token、Cookie 或 OAuth 凭证。这类凭证泄露是主要风险点。
• 写操作：WordPress REST API 支持创建、更新、删除内容。如果 Agent 被给予了有写权限的凭证，并且自动执行请求，有可能误改或误删站点内容。
• Agent 自动执行：如果 Agent 被允许自动执行 Shell 或网络请求，且凭证已配置在环境中，Skill 触发的操作可能在没有逐步确认的情况下直接落到目标站点。

可以降低风险的做法

• 如果只需要 Skill 帮助生成或审阅 REST API 请求，可以关闭 Agent 自动执行 Shell / 网络请求的权限，由你自己手动执行和验证。
• 使用最小权限的凭证：只给需要的操作范围（例如只读，或只写特定类型资源），避免使用管理员级别的全权限凭证。
• 凭证不要硬编码进对话内容或提交到代码仓库，通过环境变量或本地密钥管理方式提供。
• 先在测试站点或 staging 环境验证，再对生产站点操作。
• 对删除类操作保持人工确认，不要让 Agent 自动执行不可逆请求。

没有公开的安全扫描或审计结果可以引用，因此不做“已全面安全审计”之类的表述。是否安全，最终取决于你给它的权限、凭证范围，以及运行环境。

Skill 使用要求

一、Agent / 客户端

• 该 Skill 来自 Automattic 官方 agent-skills 仓库，属于通用 Agent Skill 形式，官方没有提供完整的第三方 Agent 兼容列表。
• 从 Agent Skill 的工作方式来看，支持 Skills 或类似自定义指令加载机制的环境通常可以尝试使用，包括 Claude Code、Codex、Cursor、Trae、OpenClaw、WorkBuddy 等。
• 不同 Agent 的 Skill 加载方式和兼容程度不一样，具体以对应 Agent 当前版本为准。
• 是否“官方支持”某个具体 Agent，本文无法确认，请以该 Skill 官方说明为准。

二、运行环境 / 依赖

因为无法读取官方 SKILL.md，我不确认该 Skill 本身是否硬性要求 Node.js、Python、Git 或其他工具。若任务需要写脚本调用 API，则由你使用的语言 / 环境决定，而不是这个 Skill 强制的。

三、权限

• 文件读取：取决于 Agent 是否读取本地脚本或配置文件，通常可选。
• 文件写入：只有在需要生成脚本、保存响应结果时才需要，可选。
• 网络访问：如果要实际调用 WordPress REST API，则需要；若只做请求生成与审阅，则可不需要。
• Shell：只有在需要执行 curl / 脚本时相关，可选。
• WordPress 站点凭证：只在需要认证的接口上需要，且应使用最小权限。

四、账号 / API Key

• Skill 本身：官方资料未表明需要单独的账号或 API Key。
• 目标 WordPress 站点：如果要调用需要认证的接口（例如写操作、访问非公开数据），通常需要该站点的认证凭证（如 Application Password 或 Token）。这是目标站点的要求，不是 Skill 自身的。
• 只读的公开接口一般不需要凭证。

最小使用条件

1. 一个可用的 Agent 环境。
2. 一个启用 REST API 的 WordPress 站点（如果任务涉及真实请求）。
3. 需要认证接口时，准备最小权限的认证凭证。
4. 确保网络能访问目标站点。

Skill 安装、使用与卸载教程

一、安装

可以直接复制本页面提供的 Skill 安装指令，粘贴到对应 Agent 或终端中执行。LemonAIKit 的 Skill 详情页已经提供了安装指令，这里不重复整套命令。

如果不确定自己的 Agent 该怎么装，可以直接问当前 AI Agent：

如何安装 automattic/agent-skills#wp-rest-api？

如何在 Claude Code 中安装 automattic/agent-skills#wp-rest-api？

如何在 Codex 中安装 automattic/agent-skills#wp-rest-api？

如何在 Cursor 中安装 automattic/agent-skills#wp-rest-api？

让 Agent 根据自己的 Skill 加载与管理机制给出对应步骤，通常最稳妥。官方是否对该 Skill 有额外的安装前提（例如特定目录结构或配置），本文无法确认，请以官方仓库说明为准。

二、安装后如何使用

安装后，该 Skill 一般会在你处理 WordPress REST API 相关任务时被触发。适合交给它的任务类型包括：查询 / 增删改 WordPress 内容、编写与调试 REST API 请求、设计集成流程、处理认证方式等。

使用时，直接说明目标站点、要操作的对象和期望结果即可。示例：

使用 wp-rest-api，帮我写一个调用 WordPress REST API 创建文章的最小示例请求。

使用 wp-rest-api，帮我梳理这个 WordPress 站点查询所有分类下文章需要的端点和参数。

使用 wp-rest-api，帮我检查下面这段调用 WordPress REST API 的代码，指出参数和认证方式上的问题。

如果任务只是生成请求或审阅代码，可以不开启自动执行请求的权限，由你自己运行和验证。

三、卸载

• 使用对应 Agent / Skill 管理器提供的删除方式，移除该 Skill。
• 直接问当前 Agent 通常更简单：

如何卸载 automattic/agent-skills#wp-rest-api？

不同 Agent 的 Skill 安装位置和管理方式可能不同。如果官方没有统一的卸载命令，不要强行使用来历不明的删除指令，直接询问当前 Agent 如何移除该 Skill 更稳妥。

常见问题

1. 这个 Skill 会自己修改我的 WordPress 站点吗？

Skill 本身只是指令集合，不会自行发起操作。是否修改站点，取决于 Agent 是否被允许执行网络请求，以及你提供的凭证是否包含写权限。只要用只读凭证或关闭自动执行，就不会发生写入。

2. 没有 WordPress 站点可以用这个 Skill 吗？

可以做请求生成、代码审阅、端点梳理等不依赖真实站点的任务。但涉及实际调用 API 的部分，需要一个启用 REST API 的 WordPress 环境才能真正验证。

3. 可以同时安装到多个 Agent 里吗？

通常可以，前提是各个 Agent 都支持 Skill 的安装与管理机制。各 Agent 之间互不影响，但要分别按各自方式安装。

4. Skill 更新后需要重新安装吗？

取决于你使用的 Agent 与 Skill 管理器。有些机制会自动同步最新版本，有些需要手动更新。建议直接问当前 Agent 如何更新 automattic/agent-skills#wp-rest-api。

5. 安装后 Agent 没识别到这个 Skill，怎么办？

先确认 Skill 是否装在当前 Agent 支持的目录 / 位置，再确认 Agent 是否需要重启或重新加载 Skill。不同 Agent 要求不同，直接问当前 Agent 加载该 Skill 的正确方式最省事。

6. 中国大陆使用有额外网络要求吗？

调用目标 WordPress 站点的可达性取决于站点本身的网络情况。Skill 本身不依赖特定的中国大陆或海外服务，但能否连通仍以你实际目标站点的网络状况为准。

7. 和直接用 Agent 提问 WordPress API 有什么区别？

差别主要在上下文质量。该 Skill 提供了针对 WordPress REST API 的规范化指引，有助于减少 Agent 编造端点、参数或字段的情况。对于简单的一次性提问，不一定非要装；对经常做 WordPress API 任务的人来说更值得。