Спасибо за помощь, в общем я пофиксил все как смог, бюрократы WordPressсъели.
Да если будете им что-то отправлять то вас могут ждать вот такие предъявы со стороны команды разработчиков и кураторов плагинов их репозитория:
## Tested Up To Value is Out of Date, Invalid, or Missing
The tested up to value in your plugin is not set to the current version of WordPress. This means your plugin will not show up in searches, as we require plugins to be compatible and documented as tested up to the most recent version of WordPress.
В целом при любых раскладах пишите в readme.txtчто ваш плагин протестирован с последней текущей версией WordPress, если напишите хоть на пункт ниже будет отворот, поворот.
## Variables and options must be escaped when echo'd
Much related to sanitizing everything, all variables that are echoed need to be escaped when they're echoed, so it can't hijack users or (worse) admin screens. There are many esc_*() functions you can use to make sure you don't show people the wrong data, as well as some that will allow you to echo HTML safely.
Короче, почти весь вывод из подозрительных переменных или просто все если получится обрамить функцией esc_html, типо связано с возможными вопросами уязвимости а-ля XSS vulnerability, и попадании на вывод чет-то там кода htmlкоторый типо как не желателен, я сам до конца не понял где это делать, а где нет, я заделал все что смог :)
## Generic function/class/define/namespace names
A good way to do this is with a prefix. For example, if your plugin is called "Easy Custom Post Types" then you could use names like these:
function ecpt_save_post()
define( ‘ECPT_LICENSE’, true );
class ECPT_Admin{}
namespace EasyCustomPostTypes;
Don't try to use two (2) or three (3) letter prefixes anymore. We host nearly 100-thousand plugins on WordPress.org alone. There are tens of thousands more outside our servers. Believe us, you’re going to run into conflicts.
Короче название ваших функций должно иметь обязательно префиксы из а-ля 4 символов или может быть можно использовать уникальные пространство имен, т.к. у меня две с половины функции я использовал префиксы перед названиями функций в 4 буковки. Связано это как я понял с тем что у них чет там миллион плагинов и могут быть конфликты в названиях или типа того.
Ну и да мой плагин приняли, как это не странно с моим не умением программирования и криворукостью, зовите меня теперь просто великий Архитектор и разработчик программного обеспечения Димитрий первый :-)
Извиняюсь за корявый текст, лень в Word’е нажимать Правописание и делать вид буд-то бы я знаю грамматику.
да причем тут html код?) они пишут про "переменные"... и выше обращали внимание.
Да я понял про переменные, а что в переменных нельзя хранить элементы htmlкода и выводить их. Я понимаю что это связанно с псевдобезопасностью, и нужно обрамить их всех в эти супер безопасные функции а-ля esc_html(), но при этом htmlкод выводиться как код, а не работает как htmlкод и это создает проблемку для не программиста сделать так чтобы часть была в этих esc_html’ах, а часть просто работала как htmlкод. Моя программа работает идеально :), а вот это уже начинается мазгоделание. Но ни че порешаем.
Про искейпнуть переменные это я примерно понял (в смысле вывод из них где используется echo). Вывести без echo, это вы имеете ввиду, разорвав открывающие и закрывающие блоки <?php ?>, я просто никогда не думал, что это такая проблема выводить htmlкод с помощью echo, я вам даже больше скажу не один учитель с ютуба, ни одна книжка, не рассказывает о таком тонком моменте, только пацаны с WordPress’а при проверке скромного плагина :).
И никто не поймёт, не зная, какой код нужно вывести и как он формируется.
К сожалению, рано еще позориться, но я обязательно его опубликую, как вы понимаете его даже в репозиторий не принимают, настолько он плох, и я это знаю, я ведь не программист, да и удивительно там нет ничего такого одна кнопка, да и этих echoне так уж и много, тем более информация, выводимая ими, выводится только в админ панели для администратора, хз что там можно сделать это даже не касается так сказать фронтендной части сайта.
Кто-нибудь кто знает английский, скажите мне в двух словах что они от меня хотят.
Much related to sanitizing everything, all variables that are echoed need to be escaped when they're echoed, so it can't hijack users or (worse) admin screens. There are many esc_*() functions you can use to make sure you don't show people the wrong data, as well as some that will allow you to echo HTML safely.
At this time, we ask you escapeall$-variables, options, and any sort of generated data when it is being echoed. That means you shouldnotbe escaping when you build a variable, but when you output it at the end. We call this 'escaping late.'
Besides protecting yourself from a possible XSS vulnerability, escaping late makes sure that you're keeping the future you safe. While today your code may be only outputted hardcoded content, that may not be true in the future. By taking the time to properly escapewhenyou echo, you prevent a mistake in the future from becoming a critical security issue.
This remains true of options you've saved to the database. Even if you've properly sanitized when you saved, the tools for sanitizing and escaping aren't interchangeable. Sanitizing makes sure it's safe for processing and storing in the database. Escaping makes it safe to output.
Also keep in mind that sometimes a function is echoing when it should really be returning content instead. This is a common mistake when it comes to returning JSON encoded content. Very rarely is that actually something you should be echoing at all. Echoing is because it needs to be on the screen, read by a human. Returning (which is what you would do with an API) can be json encoded, though remember tosanitizewhen you save to that json object!
There are a number of options to secure all types of content (html, email, etc). Yes, even HTML needs to be properly escaped.
Remember: You must use themostappropriate functions for the context. There is pretty much an option for everything you could echo. Even echoing HTML safely.
Я так понял тупо зафигачить все свои echoв esc_html() не проканает, чтобы они от меня отстали, нужно некоторые кусочки обрамить :).
Дополнительный вопрос: Может кто знает, эти цифры в этих функциях add_menu_page, add_action имеют ли какие-то ограничение или можно ставить любые хоть тысячу, хоть миллион, миллиард или есть какие-то ограничения или это без разницы сколько хочешь столько ставь?
Вы мне, наверное, не поверите, но оказывается помимо этого числа в add_menu_page, влияет на то где будет пункт меню циферка в add_action:
add_action('admin_menu', 'moe_super_menu', 20);
Это типа некий приоритет выполнения функции:
$priority(число)
Приоритет выполнения функции. Если на этот же хук "прицеплены" еще функции, то приоритет будет решать последовательность их выполнения. Меньше число - раньше выполняется, т.е. 10 будет выполняться раньше чем 20.
По умолчанию: 10
Короче я поставил побольше чтобы было попозже и магическим способом элемент меню сдвинулся в самый конец, не знаю, как это работает и почему, но вот так хотите верьте хотите нет.
а ссылку на плагин?
https://searchengines.guru/ru/forum/1064223
а ссылку на плагин?
Спасибо за помощь, в общем я пофиксил все как смог, бюрократы WordPress съели.
Да если будете им что-то отправлять то вас могут ждать вот такие предъявы со стороны команды разработчиков и кураторов плагинов их репозитория:
## Tested Up To Value is Out of Date, Invalid, or Missing
The tested up to value in your plugin is not set to the current version of WordPress. This means your plugin will not show up in searches, as we require plugins to be compatible and documented as tested up to the most recent version of WordPress.
В целом при любых раскладах пишите в readme.txt что ваш плагин протестирован с последней текущей версией WordPress, если напишите хоть на пункт ниже будет отворот, поворот.
## Variables and options must be escaped when echo'd
Much related to sanitizing everything, all variables that are echoed need to be escaped when they're echoed, so it can't hijack users or (worse) admin screens. There are many esc_*() functions you can use to make sure you don't show people the wrong data, as well as some that will allow you to echo HTML safely.
Короче, почти весь вывод из подозрительных переменных или просто все если получится обрамить функцией esc_html, типо связано с возможными вопросами уязвимости а-ля XSS vulnerability, и попадании на вывод чет-то там кода html который типо как не желателен, я сам до конца не понял где это делать, а где нет, я заделал все что смог :)
## Generic function/class/define/namespace names
A good way to do this is with a prefix. For example, if your plugin is called "Easy Custom Post Types" then you could use names like these:
function ecpt_save_post()
define( ‘ECPT_LICENSE’, true );
class ECPT_Admin{}
namespace EasyCustomPostTypes;
Don't try to use two (2) or three (3) letter prefixes anymore. We host nearly 100-thousand plugins on WordPress.org alone. There are tens of thousands more outside our servers. Believe us, you’re going to run into conflicts.
Короче название ваших функций должно иметь обязательно префиксы из а-ля 4 символов или может быть можно использовать уникальные пространство имен, т.к. у меня две с половины функции я использовал префиксы перед названиями функций в 4 буковки. Связано это как я понял с тем что у них чет там миллион плагинов и могут быть конфликты в названиях или типа того.
Ну и да мой плагин приняли, как это не странно с моим не умением программирования и криворукостью, зовите меня теперь просто великий Архитектор и разработчик программного обеспечения Димитрий первый :-)
Извиняюсь за корявый текст, лень в Word’е нажимать Правописание и делать вид буд-то бы я знаю грамматику.да причем тут html код?) они пишут про "переменные"... и выше обращали внимание.
искейпить нужно php переменные
html по идее ж можно выводить без echo
И никто не поймёт, не зная, какой код нужно вывести и как он формируется.
Кто-нибудь кто знает английский, скажите мне в двух словах что они от меня хотят.
At this time, we ask you escape all $-variables, options, and any sort of generated data when it is being echoed. That means you should not be escaping when you build a variable, but when you output it at the end. We call this 'escaping late.'
Besides protecting yourself from a possible XSS vulnerability, escaping late makes sure that you're keeping the future you safe. While today your code may be only outputted hardcoded content, that may not be true in the future. By taking the time to properly escape when you echo, you prevent a mistake in the future from becoming a critical security issue.
This remains true of options you've saved to the database. Even if you've properly sanitized when you saved, the tools for sanitizing and escaping aren't interchangeable. Sanitizing makes sure it's safe for processing and storing in the database. Escaping makes it safe to output.
Also keep in mind that sometimes a function is echoing when it should really be returning content instead. This is a common mistake when it comes to returning JSON encoded content. Very rarely is that actually something you should be echoing at all. Echoing is because it needs to be on the screen, read by a human. Returning (which is what you would do with an API) can be json encoded, though remember to sanitize when you save to that json object!
There are a number of options to secure all types of content (html, email, etc). Yes, even HTML needs to be properly escaped.
Remember: You must use the most appropriate functions for the context. There is pretty much an option for everything you could echo. Even echoing HTML safely.
Вы мне, наверное, не поверите, но оказывается помимо этого числа в add_menu_page, влияет на то где будет пункт меню циферка в add_action:
add_action('admin_menu', 'moe_super_menu', 20);
Это типа некий приоритет выполнения функции:
Короче я поставил побольше чтобы было попозже и магическим способом элемент меню сдвинулся в самый конец, не знаю, как это работает и почему, но вот так хотите верьте хотите нет.
Всем спасибо все поправил.