Tabellen in der Datenbank erstellen

WordPress liefert die notwendigen Tabellen und, noch besser, alle notwendigen Funktionen, um Daten in der Datenbank zu speichern. Es gibt zum Beispiel wp_postmeta um Daten zu speichern, die mit einem Artikel zusammenhängen oder wp_usermeta für Daten in Zusammenhang mit einem Benutzer.
Um allgemeine Daten des Plugins zu speichern sollte man die Tabelle wp_options nutzen. Man muss nicht einmal für jeden Wert einen gesonderten Datensatz erstellen, sondern man kann die Daten in einem Array zusammenfassen, mit serialize() serialisieren und in einem einzelnen Datensatz speichern.
(Edit: Schon seit der Version 2.0.1 ist es nicht mehr notwendig, die Daten selber zu serialisieren, da die update-* -Funktionen das automatisch machen.)
Wie man sieht, ist es also gar nicht notwendig, eigene Tabellen oder SQL-Anweisungen erstellen.

Ständig neue Daten anfordern

Man muss Daten von externen Quellen nicht ständig erneuern, denn es ist sehr wahrscheinlich, dass sich die Daten über einen längeren Zeitraum nicht ändern. Mit einigen durchdachten WordPress-Funktionen kann man die Daten zwischenspeichern, indem man die „Transient API“ nutzt. Sie stellt Funktionen bereit, um Daten temporär zu speichern (set_transient), abzurufen (get_transient) und noch weitere, um temporäre Daten zu verwalten.

Das Rad neu erfinden

WordPress enthält eine Fülle an Funktionen, insbesondere für das Zusammenspiel mit der Datenbank. Bevor man also anfängt, eigene Datenbankroutinen zu schreiben, sollte man sich die Klasse $wpdb ansehen, die alles enthält um mit der Datenbank zu interagieren, desweiteren add_user_meta, add_post_meta und andere hilfreiche Funktionen um Daten zu speichern, zu ändern und zu löschen. Man sollte sich diese Funktionen ansehen, bevor man auch nur einen Gedanken daran verschwendet, eigene SQL-Statements zu erstellen. Neben der einfachen Verwendung ist man auf der sicheren Seite auch wenn sich das Datenbank-Design drastisch ändern sollte.

Nach mir die Sintflut

Selbst wenn dein Plugin die beste Erfindung seit geschnitten Brot sein mag und jeder es einsetzen sollte, wird es Nutzer geben, die der Meinung sind, dass es etwas Besseres gibt und es deinstallieren wollen. Man sollte deshalb darauf achten, dass man bei der Deinstallation alle Spuren des Plugins löscht. Bei der Deinstalltion, nicht bei der Deaktivierung, denn es kann durchaus passieren, das ein Benutzer das Plugin deaktiviert, um das Blog zu debuggen und anschließend sehr glücklich ist, dass die Einstellungen noch vorhanden sind.

Es gibt noch viele andere Sachen die man beim Programmieren eines Plugins falsch machen kann und ich hoffe sehr, dass @nacin irgendwann ein Blog zu dem Thema eröffnet.

<select size="5">
  <option "test1" />
  <option "test2" />
  <option "test3" />
  <option "test4" />
  <option "test5" />
  <option "test6" />
</select>

Jeder, einschließlich mir, erwartet folgende Ausgabe:

Tatsächlich wird aber folgendes angezeigt:

Das Geheimnis liegt im stylesheet des Admin-Bereichs:

#wpcontent select {
	padding: 2px;
	height: 2em;
	font-size: 12px;
}

Dadurch wird jede Selectbox auf einen Eintrag reduziert. Warum dies so definiert ist bleibt mir schleierhaft. Zu diesem Thema existiert auch ein Ticket im WordPress-Trackingsystem, in dem das Problem seit zwei Jahren diskutiert wird.

Die Lösung des Problems ist relativ einfach:

<select style="height:auto" size="5">

Sieht einfach aus, hat mich aber eine Stunde meiner Lebenszeit gekostet.

wp_enqueue_script( $handle, $src, $deps, $ver, $in_footer );
wp_enqueue_style( $handle, $src, $deps, $ver, $media);

Man erhöht den $ver-Parameter jedesmal, wenn die Datei geändert wird:

wp_enqueue_script( 'my_script', 'my_script.js', '', '0.11' );
wp_enqueue_style( 'my_style', 'my_style.css', '', '0.11' );

Die Url des Stylesheets/Plugins ändert sich zu „.../my_script.js?ver=0.11“, so dass jedes Cachingsystem erkennt, dass es sich um eine geänderte Datei handelt und lädt sie erneut, damit der Benutzer immer die aktuellste Version erhält.

Es ist allerdings mühselig, die Versionsnummer auf einer Entwicklungsumgebung jedes mal manuell zu ändern, wenn man etwas an der Datei geändert hat und wir sind Programmierer, richtig? Also automatisieren wir die Sache einfach:

wp_enqueue_script( 'my_script', 'my_script.js', '', time() );
wp_enqueue_style( 'my_style', 'my_style.css', '', time() );

Der Wert von time() ändert sich jede Sekunde und somit ändert sich auch die Versions-ID der Datei ständig und sie wird von der Quelle und nicht aus irgendeinem Cache geladen.

Etwas nachteilig ist allerdings, das man den zeitbasierten Parameter jefesmal gegen eine „echte“ Versionsnummer austauschen muss, wenn man den Code an den Benutzer ausliefert, denn dieser soll ja immer noch den Vorteil des Cashing nutzen können. Erweitern wir also die Idee:

define ('VERSION', '1.1');
 
function version_id() {
  if ( WP_DEBUG )
    return time();
  return VERSION;
}
 
wp_enqueue_script( 'my_script', 'my_script.js', '', version_id() );
wp_enqueue_style( 'my_style', 'my_style.css', '', version_id() );

Auf diese Weise kann man sicherstellen, das bei der Entwicklung alles direkt von der Quelle geladen wird, in einer Produktionsumgebung allerdings alle Caching-Möglichkeiten genutzt werden.

if ( is_admin() )
  add_action( 'init', 'disable_password_fields', 10 );
 
function disable_password_fields() {
  if ( ! current_user_can( 'administrator' ) )
    $show_password_fields = add_filter( 'show_password_fields', '__return_false' );
}

Jetzt kein nur noch ein Benutzer mit der Rolle „Administrator“ das Passwort der Benutzer ändern und sicherstellen, dass sie gute Passwörter haben.

Das Problem ist mit einigen Zeilen PHP schnell gelöst:

1
2
3
4
5
6
7
8
9

add_filter( 'the_title', 'short_title' );
function short_title( $title ) {
  $chars = 20;
  if ( strlen( $title ) > $chars ) {
    $title = substr( $title, 0, $chars );
    $title .= " …";
  }
  return $title;
}

Die Variable $chars muss auf die Anzahl Zeichen gesetzt werden, die man maximal anzeigen möchte und in Zeile 6 muss der Platzhalter für den ausgelassenen Text eingefügt werden (… ist typografisch richtige Version für drei Punkte, Ellipse genannt).

Nachteilig an dieser Lösung ist, dass der Titel mitten in einem Wort abgeschnitten werden könnte. Wenn man möchte, kann man die Funktion entsprechend erweitern:

1
2
3
4
5
6
7
8
9
10

add_filter( 'the_title', 'short_title' );
function short_title( $title ) {
  $chars = 20;
  if ( strlen( $title ) > $chars ) {
    $title = substr( $title, 0, $chars );
    $title = substr($title, 0, strrpos( $title, ' ' ) );		    $title .= " …";
  }
  return $title;
}

Kopiert man diese Funktion in die funtions.php des Themes werden alle Aufrufe von the_title den eingefügten Angaben entsprechend gekürzt.

Seitdem war Rahul (der Mann hinter der Spamseite) nicht untätig. Ein deutscher Benutzer berichtete von Problemen mit seiner Webseite, die man ziemlich schnell auf Probleme mit einem Plugin zurückführen konnte. nach kurzer Recherche konnte ein Plugin namens Visitor Stats verantwortlich gemacht werden.

Ein kurzer Blick auf die bekannte Webseite bestätigte meinen Verdacht: Das Plugin wird von „111ways to make money“ angeboten. Interessanterweise wird das Plugin von dieser Seite selbst (nicht mehr) angeboten. Na gut, vielleicht hat Rahul einfach vergessen sie hochzuladen. Aber woher hat der Benutzer das Plugin bekommen?

Ich gab den Plugin-Namen in meine Lieblingssuchmaschine ein und war überrascht:

Also gut, dies scheint das Original-Plugin zu sein, das von Rahul verändert wurde. Ich lud das Plugin herunter, um zu sehen, was Rahul geändert hat. Zu meiner Überraschung IST dies die verseuchte Datei, im offiziellen WordPress-Verzeichnis. OMFG!
Ich war aber nicht der erste der dies entdeckt hat, denn im Forum gab es bereits einige Artikel.

Dann werfen wir mal eine Blick auf den Quelltext.

Dem Feind auf den Zahn gefühlt

In den vorherigen Plugins sahen die Dateiköpfe sehr verdächtig aus, aber durch die Nutzung eines URL-Verkürzers sieht der Kopf jetzt etwas schlüssiger aus:

Plugin Name: visitor-stats
Version: 2.00
Plugin URI: http://tinyurl.***/visitorstats
Description: This plugin will keep track of visitors' information. Check <a href="index.php?page=visitor-stats/visitor-stats.php">this page</a> for details. Requires at
least 2.6.3 and tested upto 2.7.1
Author: visitorstats
Author URI: http://tinyurl.***/2vmoonv

Natürlich führen die URLs zu der bekannten Betrugsseite, aber wer überprüft die Links schon bevor er darauf klickt, wir haben uns doch alle an TinyUrls gewöhnt.

Rahul hat sich auch einige Fähigkeiten in der Plugin-Programmierung angeeignet:

$wp_nr_footer_link_2 = 1;//change to 0 to remove the 'Improve the web...' link
function wp_nofollow_you_awareness() {
  global $wp_nr_footer_link_2;
  if($wp_nr_footer_link_2)echo ('
 
<!--mce:0-->
 
');
}
if(function_exists('get_sidebar'))add_filter('get_sidebar', 'wp_nofollow_you_awareness',10);
else add_action('wp_footer', 'wp_nofollow_you_awareness',10);"

In Zeile 30 deklariert er eine Variable und schreibt tatsächlich einen Kommentar dazu. Wie nett von ihm! Dann erstellt er eine Funktion die etwas JavaScript ausgibt. Die Funktion wird durch eine Filter und einen Action-Hook in der Sidebar und im Footer aufgerufen. Aber wird sie wirklich aufgerufen? Soweit ich weiß gibt es keinen Filter namens get_sidebar, sondern nur einen Action-Hook mit diesem Namen. Nun gut, ganz so clever scheint Rahul doch nicht zu sein.

Was macht das JavaScript, das auf die Seite geschmuggelt wird? Es zieht sich eine Werbung von linkbucks.com, der dann im Footer dargestellt wird da der Hook get_sidebar nicht funktioniert. Seit meiner letzten Betrachtung dieser Plugins ist das ein neues Geschäftsmodell.

Anschließend benutzt er einige iframes:

Das ist jetzt aber wirklich gewitzt! Vitbuzz.com scheint eine Community zu sein, in der sich College-Studenten treffen sollen (ist aber nur wenig besucht). Die Seite ist allerdings schlecht programmiert und man sie benutzen, um Links zu verschlüsseln.

<div style="font-size: 0%;clear: both;text-align: center;margin-top: 0px;color: #555">
Learn to <a href="http://***.com/">make money online</a>We came
up with a idea of putting up all the money making ways and ideas together so that you
can choose one of them and start making money online. here we include the latest money
making ways that help you earn online from home .You can find many alternative money
making ways such as affiliate marketing, sock marketing, money from blogging, paid
surveys and lots more.
+So have a look at these tips and ideas and start making money online...happy earnings...
<em></em>.</div>
');
}

Hier fügt er einen Absatz hinzu und setzt die Zeichengröße auf 0%. Obwohl das eigentlich genügen sollte fügt er noch einigen CSS-Code hinzu. Ich vermute, dass er nicht wirklich weiß was er macht und einfach den Code per Cut and Paste von einer anderen Seite übernommen hat.

if(function_exists('get_footer'))add_filter('get_footer', 'wp_nofollow_me_awareness',10);
else add_action('wp_footer', 'wp_nofollow_me_awareness',10);

Erneut versucht er JavaScript auf der Seite zu platzieren. War einmal nicht genug? Schließlich muss Rahul noch den Plugin-Pfad korrigieren, da das Original-Plugin schlecht programmiert ist:

$gi = geoip_open(ABSPATH."wp-content/plugins/visitor-stats/geo_ip
/GeoLiteCity.dat",GEOIP_STANDARD);

Ich denke Rahul wird uns weiterhin mit neuen Ideen beschäftigen, mit denen er Leute auf seine Seite locken will. Ich werde Euch weiter informieren, falls ich auf neue versuchte Plugins stoße. Hoffentlich landen sie nicht wieder im offiziellen Verzeichnis. Die Leute würden das Vertrauen in das Verzeichnis und in WordPress als Ganzes verlieren.
Leider befindet sich auf den Plugin-Seiten kein Hinweis auf eine Kontaktperson, die man über solche Plugins informieren könnte. Vielleicht sollte sich eine Gruppe von Leuten zusammenfinden, die Plugins auf solche Betrügereien untersucht oder ein Art Virenscanner erstellt, der Plugins nach bekannten Betrugsseiten oder Code durchforstet. Freiwillige vor!

Nebenbei: Das Original-Plugin heißt „wp-visitors“ (http://wordpress.org/extend/plugins/wp-visitors/).

Wie die meisten anderen Autoren überprüfe ich regelmäßig, was andere über meine Plugins sagen. Tatsächlich habe ich einen Google Alert auf die Namen gesetzt. Neulich erhielt ich eine Mail, die mir mitteilte, dass es einen neuen Fork meines pagebar-Plugins namens Advance pagebar gibt. Cool, da hat jemand ein neues Plugin auf Basis meines Codes geschrieben.

Das Plugin heißt komplett „Advance Pagebar – New way to navigate Pages …“. Überraschenderweise funktionierte der Link „http://wordpress.org/extend/plugins/advance-pagebar/“ nicht. Was war da los?

Nachdem ich meine Lieblings-Suchmaschine befragt habe fand ich schließlich eine Kopie des verdächtigen Plugins (Link bewusst ausgelassen).

Der „Autor“ dieses neuen Plugins hat nicht viel geändert. Zuerst hat er den Kopf des Plugins angepasst:

Original:

Plugin Name: Pagebar2
Plugin URI: <a class="linkification-ext" title="Linkification: http://www.elektroelch.de/hacks
/wp/pagebar" href="http://www.elektroelch.de/hacks/wp/pagebar">http:
//www.elektroelch.de/hacks/wp/pagebar</a>
Description: Adds an advanced page navigation to Wordpress.
Version: 2.59
Author: Lutz Schröer
Author URI: <a class="linkification-ext" title="Linkification: http://elektroelch.de/blog" href="http://elektroelch.de/blog">http://elektroelch.de/blog</a>

Geänderter Kopf:

Plugin Name: Advance Pagebar
Plugin URI: <a class="linkification-ext" title="Linkification: http://***.com/advance-
pagebar/" href="http://***.com/advance-pagebar/">http://***.com/advance-
pagebar/</a>
Description: For using the plugin, read the  <a title="Advance Pagebar" href="http://***.com/advance-pagebar/">Advance PagebarInstruction Page</a>  .Adds 
an advanced page navigation to Wordpress.
Version: 6.143.3
Author: Lutz Schröer
Author URI: <a class="linkification-ext" title="Linkification: http://***.com/" href="http://***.com/">http://***.com/</a>

(Die drei Sterne waren die Originaladresse.)

Tolle Wurst, er hat noch nicht einmal meinen Namen geändert! Mit der Verwendung der hohen Versionsnummer „6.143.3″ möchte er wohl vortäuschen, dass es sich u ein etabliertes Plugin handelt.

Zusätzlich hat er die readme.txt-Daei geändert:

Original:

=== pagebar ===
Contributors: Lutz Schroeer
Donate link: <a class="linkification-ext" title="Linkification: http://elektroelch.de" href="http://elektroelch.de">http://elektroelch.de</a>
Tags: navigation, navi, page, comments
Requires at least: 2.7
Tested up to: 3.01
Stable tag: trunk

Fälschung:

=== Advance Pagebar - New Way to Navigate Pages ===
Contributors: Lutz Schroeer
Donate link: <a class="linkification-ext" title="Linkification:
http://111waystomakemoney.com/donate/" href="http://111waystomakemoney.com
/donate/">http://111waystomakemoney.com/donate/</a>
Tags: admin, plugin, footer, links, copyright, administration, blog,Google Adsense, 
WordPress,Plugin,widget,post,plugin,admin,sidebar,comments,images,twitter,page,google,lin
ks,image,ad,admin,administration,ads,adsense,advertising,affiliate,AJAX,amazon,analytics,a
nti-spam,api,archive,atom,audio,authentication,author,automatic,Avatar,blog,blogroll,book,
bookmark,bookmarking,bookmarks,buddypress,button,calendar,captcha,categories,category
,cms,code,comment,comments,community,contact,content,counter,CSS,custom,dashboard
,database,date,del.icio.us,delicious,Digg,edit,editor,email,embed,event,events,excerpt,Fac
ebook,feed,feeds,filter,flash,flickr,form,Formatting,gallery,google,google,maps,html,image,im
ages,integration,iphone,javascript,jquery,language,lightbox,link,links,list,login,mail,manage,
maps,media,menu,meta,mobile,mp3,music,myspace,navigation,News,nofollow,notification,p
age,pages,password,paypal,performance,permalink,photo,photos,php,picture,pictures,plugi
,plugins,Post,posts,profile,quotes,random,Reddit,redirect,register,registration,related,rss,sc
roll,search,security,seo,Share,sharing,shortcode,sidebar,simple,slideshow,social,social,book
marking,social,media,spam,statistics,stats,Style,tag,tags,technorati,template,text,theme,t
hemes,thumbnail,time,TinyMCE,title,tracking,tweet,twitter,update,upload,url,user,users,vid
eo,widget,widgets,wordpress,wpmu,xml,yahoo,youtube navigation, navi, page, comments
 
Requires at least: 2.7
Tested up to: 3.01
Stable tag: trunk

Hey, der Typ muss ein SEO-Experte sein (nichts für ungut, Yoast).

Original:

Pagebar adds a nice page bar to your blog posts, multipaged posts and 
paged comments:
 <img src="http://elektroelch.de/hacks/wp/pagebar/wp-content/uploads/2009/04
/pagebar.jpg" alt="" />

Fälschung:

Pagebar adds a nice page bar to your blog posts, multipaged posts 
 
For detailed description of the plugin visit plugin page at [Advance Pagebar](<a class="linkification-ext" title="Linkification: http://111waystomakemoney.com/advance-
pagebar/" href="http://111waystomakemoney.com/advance-pagebar/">http:
//111waystomakemoney.com/advance-pagebar/</a>).

Der Spammer hat auch etwas Text der readme.txt zugefügt:

**Demo:**
demo: [Advance Pagebar Demo](<a class="linkification-ext" title="Linkification: 
http://***.com/advance-pagebar/" href="http://***.com/advance-pagebar/">http:
//***.com/advance-pagebar/</a>).
 
Warm Regards,
Rahul  
 
[Advance Pagebar](<a class="linkification-ext" title="Linkification: http://***.com
/advance-pagebar/" href="http://***.com/advance-pagebar/">http://***.com/advance-
pagebar/</a>).

Was ein netter Typ: Warm Regards (Herzliche Grüße). Und sein Name ist Rahul? Das ist indisch, oder?

Schließlich hat er auch noch die Changelog geändert:

== Changelog ==
= 6.143.3 =
 
* initial release

Version 6.142.3 als erstes Release? Klar!

Wenn man sich die anderen Dateien ansieht kann man erkennen, dass der Spammer lediglich alle pagebar durch Advance pagebar ersetzt.

Original:

if (!empty($_POST ['pagebar2update'])) {

Fälschung:

if (!empty($_POST ['Advance Pagebarupdate'])) {

Der Spammer fand es auch ganz toll einige Links in die Einstellungsseiten einzustreuen und er hat sogar eine Spendenseite. Wie niedlich!

<h2 style="text-align: left">For More Useful Plugins Visit:<a href="http://***.com/" target="_blank">Wordpress Plugins</a></h2>
 
 
<h2 style="text-align: left">If u like the plugin please Donate:<a href="http://***.com
/donate/" target="_blank">Plugin Donation Page</a></h2>
 
 
<h1 style="text-align: left">For Instructions Visit:<a href="http://***.com/advance-
pagebar/" target="_blank">Plugin Page</a></h1>

Er hat wirklich etwas Arbeit in die Plugin-Fälschung investiert. Schlußendlich hat er noch eine Datei index.html in das Plugin-Verzeichnis kopiert. Warum auch immer:

Wordpress Advance Pagebar - New Way To Navigate Pages Plugin
 
<h1><a title="Wordpress Advance Pagebar - New Way To Navigate  Pages 
Plugin">Advance Pagebar - New Way To Navigate Pages Plugin</a></h1>
 
 
Pagebar adds a nice page bar to your blog posts, multipaged posts
 
For detailed description of the plugin visit plugin page at Advance Pagebar.
 
			Author: Lutz Schroeer		
 
Tags: ad, admin, administration, ads, adsense, advertising, affiliate, AJAX, amazon,
analytics, anti-spam, api, archive, atom, audio, authentication, author, automatic, Avatar,
blog, blogroll, book, bookmark, bookmarking, bookmarks, buddypress, button, calendar,
captcha, categories, category, cms, code, comment, comments, community, contact,
content, copyright, counter, CSS, custom, dashboard, database, date, del.icio.us, Digg,
edit, editor, email, embed, event, events, excerpt, Facebook, feed, feeds, filter, flash,
flickr, footer, form, Formatting, gallery, google, google adsense, html, image, images,
integration, iphone, javascript, jquery, language, lightbox, link, links, list, login, mail,
manage, maps, media, menu, meta, mobile, mp3, music, myspace, navi, navigation, News,
nofollow, notification, page, pages, password, paypal, performance, permalink, photo,
photos, php, picture, pictures, plugin, plugins, Post, posts, profile, quotes, random,
Reddit, redirect, register, registration, related, rss, scroll, search, security, seo, Share,
sharing, shortcode, sidebar, simple, slideshow, social, spam, statistics, stats, Style, tag,
tags, technorati, template, text, theme, themes, thumbnail, time, TinyMCE, title, tracking,
tweet, twitter, update, upload, url, user, users, video, widget, widgets, wordpress, wpmu,
xml, yahoo, youtube navigation		
 
<a title="Wordpress Plugins" href="http://www.wordpress----plugin.org/">Click
for Beautiful Wordpress Plugins</a>

Da ist ein Link zur WordPress-Pluginseite. Wirklich? Nein! (Deshalb habe ich drei Striche zu der Adresse hinzugefügt.) Um seinen Betrug zu perfektionieren hat der Spammer tatsächlich eine Domain registriert. Diese Seite listet einige andere Plugins auf, die in ähnlicher Weise infiziert sind, es wurden aber nicht die Namen geändert. Was für eine Ehre für pagebar! Ich denke, ich sollte die anderen Autoren über diese Spam-Attacke informieren.

Die Spamseite

Mutig wie ich bin habe ich die Seite besucht, auf die der Spammer verweist:

Sieht wie eine typische Seite über WordPress-Plugins aus. Der Quellcode enthäkt keinen verdächtigen Javascript- oder Flashcode. Weiter unten ist sogar richtiger Inhalt:

Sieht wie echter Inhalt aus. Wie man sieht, gibt es sogar Kommentare:

• John says:
  September 8, 2010 at 8:27 am

  hey man, nice blog…really like it and added it to bookmarks. keep up with good work

• Anton Dirksma says:
  September 8, 2010 at 10:46 am

  Hey, very nice website. I actually came across this on Bing, and I am happy I did. I will definately be coming back here more often. Wish I could add to the conversation and bring a bit more to the table, but am just absorbing as much info as I can at the moment. Thank You

Die Liste geht so immer weiter. Auf den ersten Blick sieht das richtig echt aus, aber wenn man sich die Kommentare und die Zeit der Kommentare näher ansieht erkennt man, dass sie automatisch erstellt wurden.

Hinter der Bühne

Wer steckt hinter dem Ganzen? Fragen wir nic.com:

Registrant:
111waystomakemoney

hyderabad
india
hyderabad, Andhra Pradesh 500016
India

Registered through: GoDaddy.com, Inc. (http://www.godaddy.com)
Domain Name: 111WAYSTOMAKEMONEY.COM
Created on: 30-Aug-10
Expires on: 30-Aug-11
Last Updated on: 30-Aug-10

Wie ich vermutet habe, ein Typ aus Indien (Rahul ist ein typischer Name in Bollywood-Filmen). Richtig lustig wird es, wenn man die Adresse bei Google Maps eingibt: es ist der Begumpet Flughafen. LOL!

Zusammenfassung

Alles in allem ist es Spam, aber einen Schritt weiter. Der durchschnittliche WordPress-Benutzer erwartet keinen Spam in Plugins und, wenn ich die GPL richtig verstanden habe, kann man auch nicht viel dagegen machen. Alle gekaperten Plugins sind unter der GPL veröffentlicht worden. Jeder kann damit fast alles machen, solange er den Code wieder unter der GPL veröffentlicht. Der Spammer macht nichts Illegales und selbst wenn er würde, wie groß sind die Chancen es zu unterbinden? Null. Wir können lediglich ein Auge auf die Seite haben und alle Autoren, deren Plugins betroffen sind, davon informieren.

Moment, etwas können wir doch machen, nämlich uns bei der Mannschaft von Automattic zu bedanken, dass sie solche Spam-Plugins schnell von der offiziellen Plugin-Seite entfernt haben!

Einen Ausweg bieten PHP-Frameworks wie z.B. Zend, CodeIgniter oder Symfony, die eine bequeme API anbieten.

WordPress ist zwar kein allgemeines PHP-Framework wie die oben genannten Beispiele, aber es enthält eine Fülle von Funktionen, die bei der Programmierung von Plugins von Hilfe sein können. So gibt es natürlich auch eine Funktion, die das Versenden von E-Mails ermöglicht.

Diese Funktion trägt den Namen wp_mail() und ist in der Datei …/wp-includes/pluggable.php definiert.

Die Funktion wp_mail

Im Codex ist die formale Definition von wp_mail() beschrieben:

 < ?php wp_mail( $to, $subject, $message, $headers, $attachments ); ?>

Die Parameter haben dabei folgende Bedeutung:

$to

Empfänger der Mail. Es kann mehr als ein Empfänger angegeben werden, indem man ein Array oder ein Liste mit komma-getrennten Namen angibt.

$subject

Ein String, der das Betreff der Mail enthält.

$message

Dieser String enthält den Inhalt der Mail.

$headers

Header, die mit der Mail mitversand werden sollen (optional).

$attachments
Anhänge, die mit der Mail versand werden sollen (optional).

Hello world!

Die einfachste Möglichkeit eine Mail zu versenden sieht dementsprechend folgendermaßen aus:

 wp_mail('<a class="linkification-ext" title="Linkification: mailto:ich@beispiel.net" href="mailto:ich@beispiel.net">ich@beispiel.net</a>', 'Hallo Welt', 'Hört mich jemand?');

Eine Mail per WordPress-API ist also ganz einfach. Auf den ersten Blick fällt allerdings auf, dass es keinen Parameter für die Mailadresse des Absenders gibt. Auf den zweiten Blick, dass kein SMTP-Host für den Versand der Mail angegeben werden kann.
Als Absendername wird „WordPress“ und Absenderadresse wordpress@servername als Vorgabe genommen und ein evtl. „www“ entfernt:

$from_name = 'WordPress';
 
$sitename = strtolower( $_SERVER['SERVER_NAME'] );
if ( substr( $sitename, 0, 4 ) == 'www.' ) {
    $sitename = substr( $sitename, 4 );
}

Die Angaben des SMTP-Hosts und des Ports werden aus der php.ini übernommen. Diese sollten auf dem WordPress-System also korrekt gesetzt sein.

Anpassen der Vorgaben

Wie eben beschrieben werden alle Mails mit vorgegebenen Werten für den Absendernamen und die Absenderadresse verschickt. Will man diese Angaben ändern, müssen entsprechende Filterfunktionen benutzt werden.

Ändern des Absendernamens:

add_filter('wp_mail_from_name', 'my_name');
 
function my_name() {
  return 'Latz';
}

Ändern der Absenderadresse:

add_filter('wp_mail_from', 'my_address');
 
function my_name() {
  return '<a class="linkification-ext" title="Linkification: mailto:Latz@wp.de" href="mailto:Latz@wp.de">Latz@wp.de</a>';
}

Eine weitere Möglichkeit Absendernamen und -adresse zu ändern ist die direkte Modifizierung des Mailheaders:

$headers = 'From: Latz ' . "rn";
wp_mail('<a class="linkification-ext" title="Linkification: mailto:ich@beispiel.net" href="mailto:ich@beispiel.net">ich@beispiel.net</a>', 'Hallo Welt', 'Hört mich jemand?', $headers);

Des weiteren gibt es noch die Filter wp_mail_charset und wp_mail_content_type, die genau wie oben benutzt werden.

Als letztes existiert noch ein Filter (wp_mail_original_content), mit dem man den Inhalt der Email verändern kann, die erstellt wird, wenn man einen Artikel per Email sendet.

Anhänge

Natürlich ist es auch möglich auf einfache Weise eine oder mehrere Anhänge zu verschicken. Dazu muss an die wp_mail-Funktion ein Array mit Dateinamen übergeben werden:

$anhang = array(WP_CONTENT_DIR . '/uploads/anhang.zip');
wp_mail('<a class="linkification-ext" title="Linkification: mailto:ich@beispiel.net" href="mailto:ich@beispiel.net">ich@beispiel.net</a>', 'Hallo Welt', 'Hört mich jemand?', $anhang);

Rückgabewert

Die Funktion gibt als Rückgabe einen Bool-Wert zurück. Das bedeutet allerdings nicht, dass beim Rückgabewert „TRUE“ die Mail versandt und insbesondere nicht, dass sie empfangen wurde. Er bedeutet lediglich, dass sie korrekt an den SMTP-Host übergeben wurde, was danach mit der Mail passiert kann vom Skript nicht mehr kontrolliert werden.

Wordpress, Word Press, WordPress, wordPress, WORDPRESS,  WoRdPrEsS

Welche Version ist nun richtig? Die klare Antwort: WordPress, mit einem großen P. Am häufigsten wird es aber wohl einfach WordPress, zum einen aus Unwissenheit zum anderen aber auch einfach als Bequemlichkeit.

Das „Problem“ hat es sogar zu einer eigenen Webseite gebracht (www.wpcamelcase.com). Aber warum muss man es dem Nutzer aufbürden, sich Gedanken um die Schreibweise zu machen, dafür gibt es schließlich den Computer. In der Version 3.0 wurde von Matt persönlich folgende Funktion in den WordPress-Core eingefügt:

/**
 * Forever eliminate "Wordpress" from the planet (or at least the little bit we can influence).
 *
 * Violating our coding standards for a good function name.
 *
 * @since 3.0.0<strong>
 */
function capital_P_dangit( $text ) {
       return str_replace( 'Wordpress', 'WordPress', $text );
}
</strong>

Alles in allem doch eine sehr schöne Lösung um das Problem zu lösen… oder doch nicht?

In der wp-hackers-Mailingliste entspann sich auf jeden Fall entspann sich unter dem Titel Putting the P in WordPress eine ausufernde Diskussion über den Sinn und Unsinn dieser Funktion. Ich möchte versuchen, hier die Argumente etwas zu sortieren.

Argument: unnötiges Aufblähen des Programmcodes
Gegenargument: ist ja nur eine klitzekleine Funktion

Argument: der Inhalt eines Artikels sollte nicht vom Programm geändert werden
Gegenargument: der Inhalt wird schon vielen Stellen geändert (emoticons, autop, shortcodes, texturize, special characters, curly quotes, tag balancing, filtered HTML / kses, comment link
nofollows, …)

Argument: Links auf Bilder werden u.U. so geändert, das die Bilder nicht mehr angezeigt werden.
Gegenargument: Wer nutzt denn Großbuchstaben in Dateinamen?

Argument: „WordPress“ ist ein Markenzeichen und muss geschützt werden.
Gegenargument: Ist mir doch egal und völlig unwichtig.

Argument: Matt Mullenweg missbraucht seine Stellung als „benevolent dictator“
Gegenargument: Einer muss ja das Sagen haben

Argument: Es gab keine ausreichende Diskussion über das Thema
Gegenargument: Laut Matt gab es eine Diskussion

Die Liste ist sicher subjektiv und es gab sicher noch viel mehr Argumente (es sind immerhin über 110 Nachrichten bisher), aber dies sind diejenigen, die mir am Wichtigsten erscheinen.

Als Lösungen wurden vorgeschlagen:

• komplettes Entfernen der Funktion
• Auslagern in ein (Core-) Plugin
• im Editor als „Schreibfehler“ erkennen
• als (Opt-In-) Einstellung anbieten
• als (Opt-Out-) Einstellung anbieten

Es stellt sich natürlich die Frage, wie wichtig eine solche Diskussion ist (und wie wichtig ein Artikel über diese Diskussion!). Überraschend auch die rege Beteiligung, denn normalerweise sind die Threads in dieser Mailingliste nicht so lang. Einfache Antwort: endlich mal was Nicht-Technisches, an dem sich jeder beteiligen kann, auch ohne fundiertes Wissen über den Core-Code.

Jetzt bleibt nur noch abzuwarten, ob sich aus der Diskussion etwas Substantielles ergibt oder ob sie sich irgendwann im Sande verläuft. Popcorn steht auf jeden Fall bereit.

Update (8 July 10): Hier noch einige Links (englischsprachig)

• Lowercase p, dangit! von Justin Tadlock
• The dangit filter von Benjamin Bradley
• Automatically Correcting The WordPress Mistake von Jeff Chandler
• Changeset 14996 – Das ursprüngliche trac ticket

(Links via themelab.com)