本系列第一篇给 WordPress 的篇幅只有一段。但 PHP 这块绕不过它W3Techs 统计2026-09-23所有用 CMS 的网站里 58.8% 跑在 WordPress 上占全网网站的 40.2%——第二名和它隔着数量级。可网上劝你别用 WordPress 的声音也从来没停过。两个现象同时成立这期把它们放一起讲。一、近六成的份额是怎么攒出来的WordPress 不是第一个博客程序却是把装起来就能发文章这件事做到极致的那个。它 2003 年从博客工具 b2 分叉出来十几年里一路成为建站这个词的默认答案虚拟主机几乎都预装、任何问题搜出来前十条都是它的教程、插件主题生态越滚越大——于是更多人用更多人写教程更多人做插件循环往复。这套正反馈是别的 PHP CMS 学不来的Drupal 胜在架构Joomla 胜在规整但只有 WordPress 攒出了你想要的功能几乎都有现成插件的生态。到 2026 年官方插件目录里有近 7 万个免费插件。对新手的意义是你不缺功能缺的是挑插件的那点判断力。二、核心免费生态赚钱WordPress 的代码本体是 GPL免费这是它的根。但围绕它长出了一整条产业链AutomatticWordPress 联合创始人 Mullenweg 的公司做 WordPress.com 托管、Jetpack 全家桶、WooCommerce 母公司——核心之外全是生意插件与主题开发者免费版引流、付费版卖功能更多是卖更新与支持托管商WordPress 专用托管managed hosting是一大品类靠帮你管好更新和安全收费。所以有个挺反常识的结果WordPress 自己免费却是全球养活人最多的开源软件之一。这也解释了后面那场官司为什么打得那么凶——生态里的钱太多了。三、GPL 传染和织梦相反的授权逻辑这是国产站长最容易搞混的一节。织梦的模式是程序给你、源码也给你但商用要买授权、还不许你把改过的版本发出去——它的源码一直是公开的卡住你的是那份最终用户协议WordPress 是另一个极端官方插件目录只接受与 GPL 兼容的插件和主题凡是你能在目录里下的东西代码都必须开源可分发。两个后果。一是生态里几乎没有假开源——官方目录下的任何插件主题源码都在你手里没有用着用着被告知要买商业授权这回事买付费插件买的是更新和支持不是使用权。二是商业公司只能卖服务不卖代码——托管、定制开发、付费支持代码本身藏不住这也是 WP Engine 这类公司主要靠托管挣钱的原因。一句话在 WordPress 的世界里决定你能不能商用的是软件的协议是否兼容 GPL而不是官方哪天算着你的营收来收一笔授权费。你要小心的是那些非官方目录来源、代码加密的所谓 WordPress 插件——那才是违背生态规则的东西。四、为什么用 WordPress 老被黑这是劝退文章最爱讲的点但多半讲反了。看数据Wordfence 的 2024 年度报告统计当年 WordPress 生态的漏洞里 96% 出在插件上核心本身的漏洞寥寥无几。而核心的补丁推送是自动的插件不是。说白一点WordPress 核心被黑是小概率真正挨打的是你装的那一堆插件。常见剧本就三种装了常年不更新的免费插件、插件来源不明破解版、来路不明的站点下载、后台密码太弱被爆破。怎么防看文末那张清单。做到那几条WordPress 站的安全性和别的 PHP CMS 没有本质差别——毕竟 96% 的漏洞是插件而插件是你自己装的。五、2024 年起把生态撕开的那场官司2024 年 9 月Automattic 和 WordPress.org 突然封禁了大型托管商 WP Engine理由是商标争议。按双方后来都摆到法律文件里的口径争议核心是商标许可费——Automattic 提出的方案是让 WP Engine 按其收入的 8% 支付Mullenweg 则公开称 WP Engine 是WordPress 的癌症禁止它访问插件更新等基础设施。WP Engine 随即在加州联邦法院起诉 Automattic 和 Mullenweg。最能说明问题的一个动作发生在 10 月 12 日WordPress.org 援引插件目录规则的保留条款接管了 WP Engine 旗下最知名的插件 Advanced Custom FieldsACF改名 Secure Custom Fields并让它自动替换、停用原版——一个被上百万个站点在用的插件就这样换了主人。2024 年 12 月 10 日联邦法官签发初步禁令认定 WP Engine 在故意干扰指控上很可能胜诉命令 Automattic 在 72 小时内把 WP Engine 对 WordPress.org 的访问恢复到 2024 年 9 月 20 日的状态此后是漫长的拉锯——2025 年 10 月 Automattic 联合 WordPress 基金会、WooCommerce 提起反诉2026 年 2 月 WP Engine 提交第三份修正诉状。截至 2026 年 9 月官司还没完8 月 Automattic 提交了一份 31 页的反对意见要求法院驳回 WP Engine 就缺失消息提出的制裁动议听证排在 9 月 30 日。普通站长不用急着选边这场官司真正值得看的是另一件事WordPress 的免费基础设施插件下载、更新推送高度集中在个人与单一公司手里说封谁就能封谁。绝大多数人只是插件更新偶尔抽风几天但企业用户应该意识到选 WordPress 不只是选个程序是选一个权力结构——托管商可以被封你的站点的更新通道理论上也可以被断。所以挑托管商值得多问一句数据能不能迁走、更新通道是不是捏在别人手里。六、用了 WordPress 之后直接抄的清单把上面散的说人话收成一张清单选插件官方目录 第三方站能少装就少装看最近 6 个月有没有更新评分和下载量只做参考重点看维护者是不是正经公司删东西不用的插件、主题、用户账号一律删掉留着也是靶子更新核心自动更新开着插件主题每周看一次有没有新版本登录改掉 admin上两步验证限制登录失败次数备份数据库和文件定期备份出事了能回滚比什么都强托管别贪便宜买来路不明的WordPress 主机专用托管或正规 VPS 都行——这场官司已经证明托管商的信誉和独立性也是你安全的一部分。一句话WordPress 不是天生容易被黑是插件装多了才容易被黑。份额是生态堆出来的风险也是生态带来的。本篇数据来源W3Techs WordPress 份额统计2026-09-23 数据占已知 CMS 网站 58.8%、占全网 40.2%https://w3techs.com/technologies/details/cm-wordpressWordfence 2024 年度 WordPress 安全报告2025-04-08 发布插件漏洞占 96%https://www.wordfence.com/blog/2025/04/2024-annual-wordpress-security-report-by-wordfence/WP Engine 诉讼初步禁令2024-12-10 签发要求 72 小时内恢复访问https://wptavern.com/court-grants-wp-engine-preliminary-injunction-against-automattic 及 https://lwn.net/Articles/1001783/2026 年最新进展第三份修正诉状、版税指控https://techcrunch.com/2026/02/12/automattic-planned-to-target-10-competitors-with-royalty-fees-wp-engine-claims-in-new-filing/WordPress 官方插件目录许可规则要求与 GPL 兼容https://wordpress.org/plugins/WordPress.org 接管 ACF 并分叉为 Secure Custom Fields2024-10-12 官方公告https://wordpress.org/news/2024/10/secure-custom-fields/ 及 https://wptavern.com/acf-plugin-forked-to-secure-custom-fields-plugin商标许可费争议Automattic 公布的条款清单8% 为 WP Engine 诉状与公开报道口径https://automattic.com/2024/10/01/wpe-terms/ 及 https://www.hostingadvice.com/blog/millions-in-legal-fees-mullenweg-confirms-ongoing-lawsuit-with-wp-engine/WordPress.org 插件目录规模插件 API 2026-09-23 查得 69,105 个https://wordpress.org/plugins/官司 2026 年最新进展2026-08-11 Automattic 反对 WP Engine 的制裁动议听证定在 2026-09-302025-10-23 反诉由 Automattic、WordPress 基金会与 WooCommerce 共同提起https://wpvswpe.report/