如何使用WordPress API安装插件？PHP调用WP API安装激活预定义插件列表

嘿，我来一步步帮你解决这两个问题，不管是直接用WordPress API安装插件，还是通过PHP批量处理预定义插件的安装激活，都给你讲清楚～

首先得明确，WordPress的REST API提供了专门的端点来处理插件安装，不过有几个前提要先满足：

• 你的WordPress站点默认已经启用了REST API，要是被主题/插件禁用了得先恢复
• 你得有足够的权限（比如管理员权限，对应install_plugins权限）
• 需要生成并携带nonce值来防止CSRF攻击

具体步骤： #

1. 获取有效的Nonce值
   Nonce是WordPress的安全验证令牌，你可以通过两种方式获取：

   • 后台页面里，通过wp_create_nonce('wp_rest')生成（比如在自定义插件或主题的后台代码里）
   • 前端可以通过wp-api脚本自动获取，或者发送一个GET请求到https://你的站点域名/wp-json/wp/v2/users/me，响应头里的X-WP-Nonce就是你要的令牌

2. 发送POST请求执行安装
   目标端点是https://你的站点域名/wp-json/wp/v2/plugins/install，请求头需要包含：

   • X-WP-Nonce: 你的nonce值
   • Content-Type: application/json
     请求体里的核心参数：
   • plugin: 可以是插件的slug（比如Akismet的slug是akismet），或者插件ZIP包的完整URL
   • status: 可选参数，设为active的话安装后直接激活，默认是inactive

CURL示例： #

curl -X POST https://your-site.com/wp-json/wp/v2/plugins/install \
  -H "X-WP-Nonce: your-nonce-value" \
  -H "Content-Type: application/json" \
  -d '{"plugin": "akismet", "status": "active"}'

这里分两种场景：WordPress内部调用（更推荐，无需外部认证）和外部PHP脚本调用REST API，我都给你写示例代码。

场景一：WordPress内部批量处理（比如自定义插件/主题后台） #

这种方式直接用WordPress内置的函数，比调用REST API更高效，也更安全。

代码示例： #

function batch_install_activate_plugins() {
    // 先验证权限，只有管理员能执行
    if (!current_user_can('install_plugins')) {
        wp_die('抱歉，你没有足够的权限执行此操作。');
    }

    // 预定义要安装激活的插件slug列表
    $target_plugins = [
        'akismet',
        'wordpress-seo',
        'wp-super-cache'
    ];

    // 加载WordPress必要的管理文件
    require_once ABSPATH . 'wp-admin/includes/plugin.php';
    require_once ABSPATH . 'wp-admin/includes/class-wp-upgrader.php';
    require_once ABSPATH . 'wp-admin/includes/plugin-install.php';

    foreach ($target_plugins as $slug) {
        // 拼接插件的路径，用于检查安装状态
        $plugin_path = plugin_basename("{$slug}/{$slug}.php");

        // 检查插件是否已安装
        if (is_plugin_installed($plugin_path)) {
            echo "<p>插件「{$slug}」已安装，跳过安装步骤。</p>";
            // 检查是否激活，未激活则激活
            if (!is_plugin_active($plugin_path)) {
                activate_plugin($plugin_path);
                echo "<p>插件「{$slug}」已成功激活。</p>";
            } else {
                echo "<p>插件「{$slug}」已处于激活状态。</p>";
            }
            continue;
        }

        // 从WordPress.org仓库获取插件信息
        $plugin_info = plugins_api(
            'plugin_information',
            [
                'slug' => $slug,
                'fields' => ['sections' => false, 'tags' => false] // 只获取必要信息，加快请求速度
            ]
        );

        if (is_wp_error($plugin_info)) {
            echo "<p>获取插件「{$slug}」信息失败：{$plugin_info->get_error_message()}</p>";
            continue;
        }

        // 初始化插件升级器，执行安装
        $upgrader = new Plugin_Upgrader(new WP_Ajax_Upgrader_Skin());
        $install_result = $upgrader->install($plugin_info->download_link);

        if (is_wp_error($install_result)) {
            echo "<p>安装插件「{$slug}」失败：{$install_result->get_error_message()}</p>";
        } else {
            echo "<p>插件「{$slug}」安装成功！</p>";
            // 安装完成后激活插件
            activate_plugin($plugin_path);
            echo "<p>插件「{$slug}」已成功激活。</p>";
        }
    }
}

// 给后台添加一个菜单，方便触发这个功能
add_action('admin_menu', function() {
    add_menu_page(
        '批量安装插件',
        '批量安装插件',
        'install_plugins',
        'bulk-plugin-install',
        'batch_install_activate_plugins'
    );
});

把这段代码加到你的主题functions.php或者自定义插件里，后台就会多出一个「批量安装插件」的菜单，点击就能自动处理列表里的插件了。

场景二：外部PHP脚本调用REST API #

如果需要从WordPress外部的PHP脚本操作，就得处理认证问题，推荐用WordPress 5.6+支持的Application Passwords（比直接用管理员密码更安全）。

代码示例： #

<?php
// 配置你的站点信息
$site_url = 'https://your-wordpress-site.com';
$admin_username = '你的管理员用户名';
$application_password = '你的应用密码'; // 在WordPress后台用户编辑页生成

// 预定义插件列表
$plugins = ['akismet', 'wordpress-seo'];

// 生成认证头
$auth_header = 'Authorization: Basic ' . base64_encode("{$admin_username}:{$application_password}");

// 第一步：获取Nonce值
$ch = curl_init("{$site_url}/wp-json/wp/v2/plugins");
curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
curl_setopt($ch, CURLOPT_HTTPHEADER, [$auth_header]);
// 捕获响应头里的Nonce
$headers = [];
curl_setopt($ch, CURLOPT_HEADERFUNCTION, function($curl, $header) use (&$headers) {
    $len = strlen($header);
    $header_parts = explode(':', $header, 2);
    if (count($header_parts) < 2) return $len;
    $name = strtolower(trim($header_parts[0]));
    $value = trim($header_parts[1]);
    $headers[$name] = $value;
    return $len;
});
curl_exec($ch);
curl_close($ch);

$nonce = $headers['x-wp-nonce'] ?? '';
if (empty($nonce)) {
    die('无法获取安全令牌，请检查站点配置或认证信息。');
}

// 第二步：循环安装并激活每个插件
foreach ($plugins as $slug) {
    $install_url = "{$site_url}/wp-json/wp/v2/plugins/install";
    $ch = curl_init($install_url);
    curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
    curl_setopt($ch, CURLOPT_POST, true);
    curl_setopt($ch, CURLOPT_POSTFIELDS, json_encode([
        'plugin' => $slug,
        'status' => 'active' // 安装后直接激活
    ]));
    curl_setopt($ch, CURLOPT_HTTPHEADER, [
        $auth_header,
        "X-WP-Nonce: {$nonce}",
        'Content-Type: application/json'
    ]);
    $response = curl_exec($ch);
    $http_code = curl_getinfo($ch, CURLINFO_HTTP_CODE);
    curl_close($ch);

    if ($http_code === 200) {
        echo "<p>插件「{$slug}」安装并激活成功！</p>";
    } else {
        $error_data = json_decode($response, true);
        $error_msg = $error_data['message'] ?? '未知错误';
        echo "<p>插件「{$slug}」操作失败：{$error_msg}</p>";
    }
}
?>

注意事项： #

• 内部调用时，不要把代码放在前端可访问的地方，只在后台触发
• 外部调用时，一定要用Application Passwords，不要硬编码管理员密码，避免泄露
• 有些插件安装后需要额外配置，代码只能帮你完成安装激活，后续设置得手动处理
• 确保服务器允许CURL请求，或者调整PHP的allow_url_fopen配置

内容的提问来源于stack exchange，提问作者Nick W