MCP के माध्यम से AI एजेंटों को वर्डप्रेस साइट कनेक्ट करते समय हमने जो सुधार किए हैं वे यहां दिए गए हैं।
MCP Adapter 0.6.1 परीक्षणों से श्रेणियों, योजनाओं, लिखने की सीमा और सुरक्षा जांच के लिए फिक्स का पता चलता है AI एजेंट लाइव वर्डप्रेस साइट्स को छूते हैं।
मुख्य जानकारी
- WordPress MCP Adapter MCP उपकरण के रूप में Abilities API प्रविष्टियों को उजागर करता है, जो AI एजेंटों को व्यवस्थापक इंटरफ़ेस का उपयोग किए बिना साइट फ़ंक्शंस कॉल करने की अनुमति देता है।
- एक विश्वसनीय सेटअप के लिए पहले क्षमता श्रेणी को पंजीकृत करना और वर्डप्रेस 7.1 संगतता के लिए सार्वजनिक और show_in_rest मेटाडेटा दोनों का उपयोग करने की आवश्यकता होती है।
- केवल-पढ़ने की क्षमताओं को सख्त JSON Schema सत्यापन, अनुमति जांच और शून्य वस्तु डिफ़ॉल्ट की आवश्यकता होती है ताकि बिना किसी तर्क के बुलाए जाने पर विफलताओं को रोका जा सके।
- लेखन क्षमताओं को संकीर्ण रूप से स्कोप किया जाना चाहिए: edit_posts अनुमति, हार्ड-कोड ड्राफ्ट स्थिति की आवश्यकता होती है, इनपुट को सैनिटाइज करना और अज्ञात फ़ील्ड जैसे कि स्टेटसः पब्लिश को अस्वीकार करना।
- readonly और idempotent जैसे एनोटेशन केवल संकेत हैं; वास्तविक सुरक्षा अनुमतियों, स्कीमा सत्यापन और server पक्ष के प्रवर्तन पर निर्भर करती है।
मेटा विवरणः Test WordPress MCP Adapter 0.6.1 के साथ Abilities API: दो क्षमताएं, तीन विफलताएँ, फिक्स, सुरक्षा नोट्स और साइट मालिकों को आगे क्या करना चाहिए।
टैगः वर्डप्रेस MCP एडाप्टर, क्षमताओं API, AI एजेंटों, वर्डप्रेस सुरक्षा, MCP उपकरण
विशेष रुप से प्रदर्शित छवि: MCP टूलब्रिज से जुड़े वर्डप्रेस ब्लॉकों का अमूर्त अनुकूल चित्रण, कोई लोग नहीं, कोई लोगो, कोई पाठ।
यह गाइड वर्डप्रेस डेवलपर्स और छोटे-व्यवसाय साइट मालिकों के लिए है जो चाहते हैं कि AI एजेंट पूरे व्यवस्थापक स्क्रीन को खोले बिना सामग्री पढ़ें या ड्राफ्ट करें। AnpsThemes, एक WordPress थीम स्टूडियो जिसने 2011 से निर्माण, रसद और औद्योगिक व्यवसायों के साथ काम किया है, ने 890000890006.1 का परीक्षण किया, दो क्षमताओं को पंजीकृत किया, उन्हें Model Context Protocol पर कनेक्ट किया, और तीन फिक्स पाए जो किसी एजेंट को लाइव साइट के करीब जाने से पहले मायने रखते हैं। स्टुडियो ने खुलासा किया कि लेख और टेस्ट प्लगइन 7.1 सहायक Claude की मदद से लिखे गए थे, और यहां उद्धृत प्रत्येक त्रुटि संदेश उन परीक्षणों से वास्तविक आउटपुट है।
AI एजेंटों के लिए वर्डप्रेस में क्या बदला
W3Techs का कहना है कि सभी वेबसाइटों की 40% से अधिक वर्डप्रेस पर चलती हैं। पिछले एक साल में, उस इंस्टॉल बेस ने AI एजेंट के लिए एक और मानक पथ प्राप्त किया है। वर्डप्रेस 6.9 ने Abilities API पेश किया, जो प्लगइन या थीम को कार्य की नामित इकाई पंजीकृत करने देता है, जैसे परियोजनाओं की सूची, विवरण के साथ, इनपुट और आउटपुट के लिए JSON Schema, अनुमतियों की जांच, और कोड जो चलता है। WordPress इनपुट को मान्य करता है, अनुमतियां सत्यापित करता है और उत्पादन को वैध करता है। पंजीकृत क्षमताएं /wp-abilities/v1 पर REST के माध्यम से भी उपलब्ध होती हैं।
वर्डप्रेस 7.0 ने AI Client को कोर में जोड़ा। वह भाग दूसरी दिशा में काम करता हैः यह एक प्रदाता-अज्ञेय फ़ंक्शन, wp_ai_client_prompt (() के माध्यम से PHP कोड कॉल AI मॉडल की अनुमति देता है। परीक्षण को AI Client की आवश्यकता नहीं थी क्योंकि लक्ष्य बाहरी एजेंट के लिए साइट कार्यों को उजागर करना था, न कि WordPress के अंदर से एक मॉडल को कॉल करना।
पुल आधिकारिक MCP Adapter प्लगइन है, जो GitHub पर या कंपोजर के माध्यम से उपलब्ध है। यह पंजीकृत क्षमताओं को Model Context Protocol ( MCP ) टूल में बदल देता है जिसे कोई भी MCP क्लाइंट कॉल कर सकता है।
निर्माण प्रदर्शन कैसे बनाया गया और तोड़ दिया गया
AnpsThemes ने एक काल्पनिक निर्माण कंपनी के लिए एक छोटा सा प्लगइन बनाया, जिसमें पोर्टफोलियो शैली का उपयोग किया गया है जो इसके कई ग्राहक साइटों का उपयोग करते हैं। यह वर्डप्रेस 7.1.2 को MCP Adapter 0.6.1 के साथ चलाता था और पांच नमूना परियोजनाओं के साथ एक प्रोजेक्ट पोस्ट प्रकार बनाता था। प्रत्येक परियोजना अपनी सेवा, शहर और अवधि संग्रहीत करती थी। फिर इसने दो क्षमताएं पंजीकृत कींः ठेकेदार / सूची-परियोजनाएँ, तैयार परियोजनाओं की केवल पढ़ने वाली खोज, और ठेकेदारों / ड्राफ्ट-प्रोजेक्ट, एक लेखक जो केवल नौकरी नोट्स से मसौदा पृष्ठ बना सकता था।
एक चैट APP का उपयोग करने के बजाय, परीक्षण ने सीधे MCP से बात की। इसने डब्ल्यूपी MCP -एडाप्टर सेवा के साथ server को शुरू किया और कच्चे JSON -आरपीसी संदेश भेजे, इसलिए आउटपुट में दिखाया गया कि एजेंट क्या प्राप्त करेगा। पहले तीन आश्चर्य स्कीमा डिफ़ॉल्ट्स, लेखन सीमाओं और डिफॉल्ट MCP , server , डिजाइन से आए थे।
- क्षमता से पहले श्रेणी को पंजीकृत करें. प्रत्येक क्षमता एक श्रेणी के अंतर्गत आती है, और इस श्रेणी को सबसे पहले wp_abilities_ API _categories_init पर wp_register_ability_category के साथ पंजीकृत किया जाना चाहिए। डेमो ने ठेकेदार श्रेणी का उपयोग करते हुए लेबल Contractor तथा विवरण Projects and services of a construction company का प्रयोग किया था।
- केवल-पढ़ने की क्षमता को सुरक्षित बनाने के लिए कॉल करें. सूची-परियोजनाओं की क्षमता का उपयोग wp_register_ability पर किया गया है wp_abilities_ API _init. इसकी इनपुट स्कीमा ने रसोई, बाथरूम, छत और तहखाने, शहर एक स्ट्रिंग के रूप में सेवा की अनुमति दी, और 1 से 20 तक पूर्णांक 5 के डिफ़ॉल्ट के साथ सीमा। अतिरिक्त गुणः झूठा स्कीम के बाहर किसी भी क्षेत्र को अस्वीकार कर देता है. आउटपुट योजना आईडी, शीर्षक, सेवा, शहर, duration_weeks, और URL लौटाई। कॉलबैक अनुमतियों की आवश्यकता थी current_user_(can'read'). प्रकाशित परियोजनाएं वैसे भी सार्वजनिक हैं, लेकिन एजेंट को अभी भी लॉग-इन उपयोगकर्ता की आवश्यकता है।
मेटा ब्लॉक में public: true और show_in_rest: true का प्रयोग किया गया. वर्डप्रेस 7.1 में, सार्वजनिक REST और MCP की क्षमता को उजागर करता है जबकि वर्डप्रेस 7.0 को अभी भी REST के लिए show_ in_rest की आवश्यकता होती है, इसलिए परीक्षण सेट दोनों। विवरण एक मॉडल के लिए लिखा गया था, क्योंकि उपकरण चुनते समय एक मॉडल इसे पढ़ता है।
स्कीमा ने वास्तविक सत्यापन किया, और कॉलबैक चलाने से पहले वर्डप्रेस ने खराब इनपुट को अस्वीकार कर दिया। पाइपलाइन की एक सेवा लौटाई गई इनपुट [सेवा] रसोई, बाथरूम, छत और तहखाने में से एक नहीं है। 50 लौटाए गए इनपुट की सीमा 1 (समावेशी) और 20 के बीच होनी चाहिए। पहली विफलता अधिक आम थी: उपकरण को बिना किसी तर्कों के बुलाया गया इनपुट ऑब्जेक्ट प्रकार का नहीं है, क्योंकि एक खाली इनपुट कोई वस्तु नहीं था। फिक्स 'डिफ़ॉल्ट' जोड़ना था => इसके बाद, कोई तर्क के साथ एक कॉल पांच सबसे हाल ही में परियोजनाओं लौटा दिया.
- लेखन क्षमता को संकीर्ण रखें. ड्राफ्ट-प्रोजेक्ट क्षमता के लिए शीर्षक, सेवा, शहर और सारांश की आवश्यकता होती है। यह शीर्षक लंबाई 5 से 120, शहर की लंबाई कम से कम 2, duration_weeks 1 से 104, और सार में कम से کم 40 वर्णों को स्वीकार करता है। इसके कॉलबैक ने wp_insert_post का उपयोग पोस्ट_स्टेटस हार्डकोडेड के साथ प्रारूपित करने के लिए किया था, शीर्षक और शहर पर sanitize_text_field, सामग्री पर wp_kses_post, और सेवा के लिए मेटा, शहर, और अवधि_वेक। इसने आईडी, स्थिति और संपादन URL वापस कर दिया ताकि एक मानव समीक्षा और प्रकाशित हो सके। ड्राफ्ट क्षमता भी सार्वजनिकः सही और show_in_rest: सच का इस्तेमाल करती थी।
अनुमति कॉलबैक केवल उन उपयोगकर्ताओं को अनुमत करता है जो edit_posts संपादित कर सकते हैं. यदि नहीं, तो यह WP_Error कोड contractor_cannot_draft और संदेश इस खाते ड्राफ्ट नहीं बना सकता। एक उपयोगकर्ता के साथ कनेक्ट करें जो पदों को संपादित करने में सक्षम है. परीक्षण ने "स्थिति" जोड़ने की कोशिश की: इनपुट पर "प्रकाशित"। क्योंकि अतिरिक्त गुणः झूठा सेट किया गया था, वर्डप्रेस अस्वीकृत स्थिति ऑब्जेक्ट का वैध संपत्ति नहीं है. उस पंक्ति के बिना भी, एजेंट द्वारा भेजी गई कुछ भी post_status तक नहीं पहुंचता है.
- याद रखें कि एनोटेशन इशारे हैं, कवच नहीं। मेटा ब्लॉक ने सूची-परियोजनाओं को readonly और idempotent के रूप में चिह्नित किया है, और ड्राफ्ट-प्रोजेक्ट को readily false, destructive false, और idimpotent false. Over REST, वर्डप्रेस ने HTTP विधि का चयन करने के लिए उन टिप्पणियों का उपयोग किया। POST लौटी 405 केवल पढ़ने की क्षमताओं के साथ रीड-ओनली एबिलिटी को कॉल करना GET पद्धति की आवश्यकता होती है। जीईटी वापसी के साथ ड्राफ्ट क्षमता को बुलाना 405 अद्यतनों को निष्पादित करने वाली क्षमताओं को पोस्ट विधि की आवश्यकता ہوتی है। MCP Adapter उन्हें क्लाइंट्स को भी संकेत के तौर पर पास करता है जैसे कि readOnlyHint।
लेकिन एनोटेशन कॉलबैक को लागू नहीं करते हैं। एक रीड-ओनली क्षमता जिसका कोड पोस्ट हटाता है, फिर भी पोस्ट हटा सकता है। MCP विनिर्देश कहता है कि क्लाइंट्स को अविश्वसनीय servers से अनोटेशन्स का इलाज करना चाहिए। वास्तविक सुरक्षा अनुमति कॉलबैक और क्षमता के अंदर कोड है।
- डिफ़ॉल्ट MCP server को फोकस्ड के साथ बदलें। MCP Adapter स्वचालित रूप से एक डिफॉल्ट server बनाता है. जब इसके उपकरणों के लिए पूछा गया, तो इसने दो ठेकेदार क्षमताओं को नहीं दिखाया था। इसने तीन सामान्य उपकरण दिखाएः एक क्षमता का पता लगाने के लिए, एक क्षमता की जानकारी प्राप्त करने के लिए और नाम द्वारा किसी भी क्षमता को निष्पादित करना। इससे कई क्षमताओं वाली साइटों पर टूल सूचियां कम रहती हैं, लेकिन एजेंट ने तीन कदम उठाए जहां इसे किया जाना चाहिए। यह प्रति-क्षमता संकेतों को भी हटा देता हैः निष्पादन उपकरण कुछ भी चला सकता है, इसलिए इसे विनाशकारी चिह्नित किया जाता हैसंकेत: सच है, और एक हानिरहित खोज परियोजना उसी उपकरण के माध्यम से जाती है जैसे कि लिखना। एक क्लाइंट जो विध्वंसक कार्यों से पहले पुष्टि मांगता है उन्हें अलग नहीं कर सकता।
डिस्कवरी टूल ने ठेकेदार क्षमताओं के बगल में वर्डप्रेस की अपनी सार्वजनिक क्षमताओं को भी सूचीबद्ध किया, जिसमें एक PHP और डेटाबेस server विवरण लौटाता है। WordPress केवल व्यवस्थापकों को इसे चलाने देता है, जो कि प्रशासक के रूप में एजेंटों को कनेक्ट नहीं करने का एक और कारण है।
सुधार एक केंद्रित server के माध्यम से MCP _adapter_init बनाने के लिए किया गया था। डेमो को create_ server कहा जाता है, जिसमें server आईडी ठेकेदार- server , रेस्ट नेमस्पेस MCP , रेस्ट रूट ठेकेदारों- server , नाम Contractor Site, विवरण परियोजना पोर्टफोलियो पढ़ें और नए प्रोजेक्ट पृष्ठों का मसौदा तैयार करें., संस्करण 1.0.0, ट्रांसपोर्ट क्लास \WP\ MCP \Transport\HttpTransport::class, त्रुटि हैंडलर \\WP\ MCP \Infrastructure\ErrorHandling\ ErrorLogMcpError Handler::class , एक शून्य अवलोकनशीलता संचालक, और केवल ठेकेदारी/परियोजना सूची और ठेकेदारा/ड्राफ्ट-प्रोजेक्ट. उस server के साथ, टूल लिस्ट ने चुनी गई दो क्षमताओं को अलग उपकरण के रूप में दिखाया MCP .
आम गलतियाँ
साइट मालिकों को Abilities API को एक स्वचालित सुरक्षित गेटवे के रूप में व्यवहार नहीं करना चाहिए। परीक्षण तीन गलतियों से बचने के लिए दिखाता हैः शीर्ष-स्तरीय डिफ़ॉल्ट छोड़ दें जब एजेंट बिना किसी तर्कों के टूल को कॉल कर सकते हैं, हार्ड-कोडिंग की स्थिति के बिना लिखते हैं और डिफॉल्ट पर भरोसा करते हैं MCP server जब केंद्रित server , उपकरण अलग रखेगा और भ्रम को कम करेगा। किसी भी वर्डप्रेस साइट के लिए व्यावहारिक अगला कदम जो एजेंट एक्सेस चाहता है वह केवल पढ़ने की क्षमताओं के साथ शुरू करना है, गैर-प्रबंधक खातों का उपयोग करें, फोकस्ड बनाएँ MCP , और ड्राफ्ट के लिए मानव समीक्षा की आवश्यकता होती है।
Comments (0)