WordPress 7.0.3 修复 12 个漏洞，7.1 RC 与 Gutenberg 23.7 同步推进

你好，

又是一个忙碌的发布周：WordPress 7.0.3 安全更新、WordPress 7.1 RC 1 和 Gutenberg 23.7 都已经发布。下面会详细介绍每一项——但在你继续阅读之前，请立即将所有站点更新至 7.0.3。本期 newsletter 可以稍后再看……

如果你要去 Phoenix：一路平安，记得带件毛衣——每栋楼里的空调都会开得很足！今年，我会在 WCUS 直播中与你见面。

祝你们周末愉快！

此致，
Birgit

开发 Gutenberg 和 WordPress
适用于 #nocode 建站工具的插件和工具
构建区块和工具
Playground 有什么新动态？
WordPress 中的 AI

开发 Gutenberg 和 WordPress

WordPress 7.0.3作为安全版本发布，修复了十二项漏洞，因此如果自动后台更新尚未代你处理，请立即更新你的站点。发布负责人 John Blackbourn 列出了这些修复，包括登录屏幕上可导致 PHP 代码执行的预认证 XSS、多个贡献者级别的存储型 XSS 问题，以及一次多站点权限提升。修复已反向移植至所有受支持分支，最早覆盖 4.7，7.1 RC2 也包含这些修复。

要体会安全团队为此次发布付出的巨大努力，不妨看看这些数字：今年早些时候之前，每月有 20 到 30 份报告；如今这一数字已跃升至每月 450 份。两次安全更新 7.0.2 和 7.0.3 不仅被反向移植到两个正式支持的版本 6.9 和 7.0，还一路回溯至 4.7 版本。这意味着共有二十多个主要版本需要更新。另请参阅 The Repository 中 Rae Morey 的报道：WordPress 7.0.3 Patches 12 Vulnerabilities as Bug Bounty Reports Climb to 450 a Month。

8 月 19 日是计划中的最终发布日期，Benjamin Zekavica宣布 WordPress 7.1 Release Candidate 1已可在你的测试站点上使用。自 Beta 4 以來，已有超过 145 项更新发布——编辑器中 57 项，Core 中 88 项——还新增了 Icons API、可分享的修订链接，以及 Notes 中 @提及的电子邮件通知等功能。插件和主题作者：请完成测试，并将“Tested up to”更新为 7.1。你可以直接在浏览器中通过 WordPress Playground 体验。

Milana Cap 在 the WordPress 7.1 Field Guide中统计了 310 多个 Core Trac 工单、二十个新钩子以及大约 600 项 Gutenberg 增强功能；该指南是你所链接的、涵盖 8 月 19 日发布版每条开发说明的索引。亮点包括客户端媒体处理、始终以 iframe 加载的文章编辑器、SVG Icon API、响应式区块样式和常驻管理栏。最后还有一个坦率的章节，讨论了未能纳入此次发布的项目，从 Classic 区块的暂缓保留，到实时协作和 React 19。

在 WordPress 7.1 中，文章编辑器始终以 iframe 加载，而原本允许一个 apiVersion 2 区块将整篇文章拉出 iframe 的应急出口也消失了。这是发布协调员 Benjamin Zekavica所撰写的 WordPress 7.1 开发者审计清单中位列首位的兼容性风险。他按风险等级对各个部分进行了分类，介绍了 SVG Icon API 的严格清理器、响应式区块样式和新的 DataViews 过滤器，最后还提供了一份用于 8 月 19 日发布的检查清单。

图库区块中含义模糊的“转换为图片”按钮现已改为“分离”，并配有弹窗说明会发生什么——这是 Jonathan Bossenger 在 Gutenberg 23.7 的新动态 中逐一讲解的众多改进之一。你还会发现，全局样式继承界面现在可通过“实验”页面选择启用；数学区块中的 LaTeX 错误会等到你离开输入字段后才显示；此外还修复了浮动区块与粘性区块重叠的问题，以及编辑器中引用区块的行高问题。

适用于 #nocode 网站构建器的插件和工具

可变商品页面的加载速度大约提升了 9% 至 12%，大型商店的订单屏幕也变得更灵敏，这是 Brent MacKinnon 在 WooCommerce 11.0 的新动态 中报道的。分析数据也更值得信赖：退款现在计入实际发生的时段，会话数排除机器人，你还可以重新运行未完成的历史数据导入。访客客户创建账户后可以认领过去的订单，而结账恢复测试版让你可以在全面推出前测试消息。

将站点编辑器变更从数据库移入版本控制多年来一直让代理商开发者感到沮丧，而 Brian Coords 认为智能体再次让这个问题变得紧迫。他针对 Create Block Theme 提出的实验性 智能体优先方法 wp-theme-control，将即将推出的 WP-CLI 3.0 wp block 命令封装在 bash 脚本和智能体技能中：plan 命令会列出数据库变更，随后你可以执行空运行，将其导出到主题中，并可选择清除数据库副本。他正在为即将发表的 WordCamp US 演讲收集反馈。

让客户直接在您的线上页面固定评论——无需登录、无需邮件往返，也无需来回传输 PDF——这是 Ben Elwood 的 Reviso 客户反馈与审批 插件主打的功能。它是少数原生集成到区块编辑器中的同类页面构建器之一，支持串行回复、状态跟踪和审查链接，即使在维护模式下也能使用。1.5.2 版默认开启“建议”模式，因此审核者可以像跟踪修订一样提出措辞修改建议，你的团队只需一键即可应用。

Bas Buis 发布了 Dynamic OSM Maps，这是一款无需 Google API 密钥或 recurring 费用即可添加交互式地图的插件。这个轻量级区块基于 OpenStreetMap 和 Leaflet：免费版允许你手动输入地址，而 Pro 版可连接你的自定义字段——坐标、地址或重复器——以支持不限数量的标记和弹出窗口。这为目录和列表类网站直接在地图上呈现已存储的位置数据打开了大门。

Emily Rapport 以荷兰郁金香狂热开篇，审视 llms.txt 文件和 AI 可见性订阅的涌入，随后做了一件更少见的事：分享她一年的内容工作及真实的 Search Console 数据。她重写的维护页面排名从第 50 位升至第 13 位，并且恰好获得了五次点击——但却收到了三条咨询，表示“我问了 ChatGPT”。她的结论是，围绕真实主题持续发布，胜过追逐单一细分领域；而且你仍然无法可靠地将 AI 推荐追溯到某个页面。

“跟进 Gutenberg – 索引 2026”
按时间顺序列出了参与 Gutenberg 开发的各个团队在 WordPress Make Blog 上发布的文章：设计、主题审核团队、核心编辑器、核心 JS、核心 CSS、测试和 Meta 团队，从 2024 年 1 月开始。由本人持续更新。

往年版本也可查看：
2020 | 2021 | 2022 | 2023 | 2024 | 2025

积木与工具

WooCommerce Developer Blog 跟进其“所有产品”概念验证，并探讨其背后的原因。Veronica Fasulo及共同作者详细说明了DataViews 的价值以及它面向哪些人：只需描述一次字段，它便可为列表列、快速编辑、批量编辑和表单提供支持，无需再手动连接四套实现。商家无需重新加载页面即可切换视图，扩展开发者则可使用注册机制而非修补 DOM——团队还公开询问 DataViews 是否真的是合适的底层基础。

Playground 有哪些新变化？

全新的 WordPress Playground 用户界面以可自定义的 Dock、自动保存以及对已保存实例的实时可视预览为主打功能，Fellyph Cintra在 WordPress.tv 上进行了演示。视频介绍了如何从 GitHub 或 Zip 文件导入项目、预览 Core 和 Gutenberg 的拉取请求，以及使用内置的文件编辑器、数据库管理器和错误日志——还可以切换 WordPress 版本，最早可回到 0.7。反馈可发送给 Make Playground 博客或 #playground Slack 频道。

WordPress 中的人工智能

Vercel 这一大型平台发布了 Vercel AI Gateway Provider 插件，开发者是前 Core AI 团队代表Felix Arntz。一个 API 密钥即可调用来自 40 多个提供商的数百个模型。网站上的任何 AI Client 插件都可以通过 Gateway 路由文本、图像和视频生成——包括 Jonathan Bossenger 教程中的 Photo to Post 演示。提供商发生故障时会自动启用备用方案，且用户只需按提供商费率付费，无需支付平台费用。

你的 AI 代理设计出一个精美页面，Gutenberg 却将其冻结成一个无法编辑的 Custom HTML 大块内容。Human Made 给出的答案是Block Runner，现已在 GitHub 上开源：这是一款确定性的 Node 命令行工具，可将生成的 HTML 转换为正确嵌套的原生区块——wp:cover、wp:columns、wp:buttons——并使用真实的附件 ID，还会根据无头版 Gutenberg 验证每个结果。在该团队的基准测试中，直接让模型编写区块标记的得分为 35 至 73；搭配 Block Runner 后，同样的模型得分达到 93 至 99。

读者或许还记得几个月前的Chris Huber 的 Block Format Bridge——它从 WordPress 内部解决同一个问题，在插入时于服务器端转换 Markdown 和 HTML；而 Block Runner 则侧重于流程管线端，包含验证关卡和 CI 钩子。针对同一问题的两种开源方案表明，代理式内容问题正真正受到关注。

拼图的第三块：官方的WordPress 代理技能仓库采取预防路线，教 AI 编码助手从一开始就编写有效的区块标记。若想采用更轻量的方式，也可以直接让 AI 代理查阅更新后的Core Blocks Reference，其中每个区块的页面现在都记录了其标记、属性、支持项和允许的嵌套关系。

需要来自 Gutenberg 主分支的插件 .zip 吗？
Gutenberg Times 提供每日构建版本，供测试和审查使用。

现在也可通过 WordPress Playground 使用。你不必在本地或服务器上搭建测试站点。你一直在使用它吗？请发邮件告诉我你的使用体验。

有问题？有建议？有想法？
欢迎通过电子邮件发送给我，或
在 WordPress Slack 或 Twitter @bph 上给我发消息。

如有问题希望在 Gutenberg Changelog 中得到解答，
请发送至 changelog@gutenbergtimes.com

特色图片：