WordPress 停用的外掛要刪嗎？沒人維護的外掛怎麼認

為什麼會這樣 #

外掛越多，互相打架的機率越高，可攻擊的面積也越大。停用外掛的檔案仍可被直接存取，攻擊者掃的是檔案路徑，不看你有沒有啟用。另外很常見的殘留是 -bk、-old 之類的複製目錄，是以前某人手動備份留下的，通常沒人記得。

「沒人維護」的外掛更危險：漏洞公告了也不會有修補版，只能換掉。

怎麼處理 #

1. 到「外掛」列表用「已停用」篩選。每一支問三個問題：誰裝的、做什麼用、前台哪裡用到？答不出來的就是候選。
2. 判斷是否已停止維護：最後更新超過兩年、外掛頁標示「未與目前 WordPress 版本測試」、原廠網站消失或授權買不到。
3. 大型多合一外掛（例如一支做二十件事的電商工具箱）常是相衝來源。先在測試站用功能單一的免費外掛替代，確認後再換。
4. 刪除前先備份。刪掉後看前台幾個主要頁面和後台編輯器。有些外掛移除後，後台欄位或 ID 顯示會跟著消失，用小外掛補回即可。
5. 注意 Code Snippets：有些客製碼依賴某支外掛，那支外掛更新或停用時，snippet 可能被自動停用，功能就默默壞了（實例見客製碼放子主題還是 Code Snippets）。
6. 每次例行維護順手做：清「已停用」、清修訂版本、刪來路不明的複製目錄。

我們實際遇過的情況 #

一家電商站前台 500，停用一支多合一電商工具箱外掛後就正常，後來以免費小外掛替代原本用到的兩個功能。另一家客戶停用某後台管理外掛後，分類和文章列表的 ID 欄位不見了，補裝一支只做這件事的小外掛。

一家客戶站上出現三支名稱帶 -bk 的外掛，沒人知道誰放的，我們先查來源與正本再決定處置，不直接刪。

還有一家客戶降級維護方案時，我們把方案內用到的外掛和程式一一停用並留下清單，之後升回來就照清單開。

什麼時候該找人 #

不知道哪些外掛是必要的、外掛之間有相依、或站上有客製程式碼——這種站盲刪一定會壞，而且壞的地方常常不是當下看得到的頁面。

想有人每月幫你盤點外掛、清掉不該留的：網站守護方案。先看現在裝了什麼：免費健檢。