用了 20 年 WordPress 后，我不再推荐它

编者按：以下据 Ajay Chavda（Hatamoto）2026年10月27日署名长文编译整理，保留第一人称与原文主线。文中对 WordPress 的批评、第三方统计与机构经历均为作者立场；后半介绍其自研开源 CMS Hatamoto 1.0，属产品推广，不是中立盖棺评测。与 2026-10-26 前后 WordPress 6.9.10 安全维护版新闻不是同一件事。

我的第一家网站建于 2002 年，跑在微软 Windows 上。到 2004 年，我已经在运营一个流量很大的网络安全论坛。从那以后我在 WordPress 上建过成千上万个站，我的代理机构在近二十年里做了 1500 多个商业网站，多数基于 WordPress。这些年里，WordPress 付了我大部分账单。

很长一段时间里，WordPress 是我推荐给客户的答案：跑不了静态站、别的平台又不合适时，我会指他们去 WordPress——好用、好更新。我现在不再这样推荐了。

问题堆了好几年，项目主导者没把它们修好；网站怎么写、怎么被读，又要再变一轮。下面先讲今天 WordPress 站点上常见的坑，再讲我们自己做了什么。

WordPress 上平常的一天

如果你也开代理机构，大概懂这种早晨：夜里十几个插件推了更新，其中一个是必须装的安全补丁。八点四十客户来电——结账页白屏。九点一刻又有人发截图：联系表单从周五起一条咨询都没发出去。

你得从那三十个插件里找出凶手：一个个关，或 FTP 改文件夹名；找到后翻旧版上传，还得祈祷更新没有把数据库改到旧版读不了。按我的经验这能耗掉好几小时，一分钟都开不出账。你还有完整 SSH——有时一个被攻陷的站能拖垮同机所有站。

CloudLinux 与 WebPros 在 2026 年调查了 WordPress 代理机构：65% 把「插件和主题更新」列为主要挑战；管超过 100 个站的机构里是 75%，其中 45% 仍在手工逐站更新。78% 是个人或十人以下小团队。

没有沙箱

每个 WordPress 插件都和核心跑在同一 PHP 进程里，对数据库和文件权限一样。轮播插件能读用户表，表单插件能把数据发到任意外网。没有权限提示，也没有办法限制插件能碰什么——沙箱量是零。

Patchstack 记录 2025 年 WordPress 生态新增 11,334 个漏洞，同比多 42%；91% 在插件、9% 在主题，核心只有六个。46% 公开时开发者还没修；被猛打的那些，从披露到大规模利用中位时间约 五小时。2024 年有 1,614 个插件/主题因未修安全问题被目录下架，不少已弃坑却仍挂在活站上。

Sucuri 称其 2023 年清理的感染站里 95.5% 跑 WordPress——市场占有率是一部分原因；接到周一早间电话的机构老板不会因此轻松。

更新易碎、回滚靠手、后台像广告牌

WordPress 有一点回滚：核心自动更新失败会自救；自 6.6 起，插件自动更新若触发 PHP fatal 也会撤回。布局被主题搞坏、表单不发信、结账能开页却收不了款——系统都觉得没事。你从客户那儿才知道，然后手动回滚。

于是多数人关掉自动更新，安全补丁落后。Sucuri 清理的 CMS 感染里，39.1% 安装当时已过期。

我也给过那些标准答复：关自动更新、改设置、先走预发、钉版本、换托管、买维护服务。我们都做过。但每个客户要求不同：有人订座接 CRM，有人晚上十点手机改页，有人留着三年前开发者装、没人记得的插件。一套流程在这个站通，到下一个就塌。

站总坏时，原因往往就是一层层创可贴：缓存插件修速度，安全插件护其他插件，预发让更新「安全」，备份兜底预发漏掉的。脆弱平台不会因补丁更多而变结实。

表单、跳转、SEO、内链、实体、schema、缓存——商业站几乎都要，却几乎都不在核心里。打开后台再数一遍横幅：升级 Pro、五星好评、黑五、许可证快过期。插件可以往管理区任意贴通知，用站的人学会忽略所有消息——包括真正要紧的那些。目录里搜什么都是近乎相同的「免费」插件，多数在推付费版；很多免费主题是试用版，页脚带署名链接、功能上锁。

HTTP Archive 2025 年 11 月：WordPress 站点 Core Web Vitals 通过率约 46.28%，在对比平台里垫底；Drupal 约 63.27%，Duda 约 84.87%。核心没有页面缓存，速度靠更多插件。代理调查里，插件/主题膨胀是头号性能问题（59%）。

块编辑器 2018 年进来。Gutenberg 插件评分约 2.1/5（约 3,887 评，其中约 2,490 个一星）；官方 Classic Editor 活跃安装超过 800 万——用来关掉 Gutenberg。

一个人能卡住你业务所在的平台

2024 年 9 月，控制 WordPress.org、领导 Automattic 的 Matt Mullenweg 禁止 WP Engine 访问 WordPress.org，切断其上数千站点的更新。10 月，WordPress.org 接管 WP Engine 的 Advanced Custom Fields，并替换用户站点上的插件。贡献者登录要勾选与 WP Engine 无关联；质疑者被暂停或封禁。美国法院后来责令恢复 WP Engine 访问。

随后工作减速：Automattic 承诺贡献从每周近 4,000 小时降到 16；WordPress 改为一年一个大版本，积压约 13,000 张票。Yoast 创始人 Joost de Valk 说：WordPress 变慢，是因为他在强迫它变慢，不是没有愿意干活的贡献者。

REST API 2016 年底才进 4.7；应用密码 2020 年才随 5.6 来。核心仍无 webhook。备份：内置导出只是文章页 XML，不含媒体、设置、插件、主题。搬家时数据库里塞满完整 URL，还包括一改就碎的序列化 PHP。

我们因此做了 Hatamoto

我也向 Google、Shopify、ServiceNow、Salesforce、Microsoft 等报过漏洞；近二十年开代理、修别人的站。两顶帽子叠起来，我觉得时候到了，该有更好的 CMS。

Webflow、Wix、Squarespace、Ghost、Craft、Statamic 和一长串无头 CMS 都在抢同一批站。我们用过不少。1500 多个商业站之后，我们知道老板真正撞上的是：更新后挂站、表单悄悄停发、周一早间被黑、手机上慢、内容被搜索和 AI 读错。托管方案修好一部分，代价是把业务绑在一家公司上；也没有谁是为「AI 怎么写站、怎么读站」从头设计的。

多数客户其实要得不多：简单页面编辑、发新闻、表单、菜单、缓存，以及一个不怎么坏的站。打补丁救不了 WordPress——问题来自二十年前的决策。

Hatamoto 1.0 是我们按那些决策另起的炉灶：Go 单二进制；插件跑在 Wasm 沙箱（Extism / wazero），权限安装时显式批准；内置页面缓存、表单与自定义字段、菜单/跳转/版本历史；内置 MCP，给 AI agent 限权密钥与审计日志；REST 与 webhook；hatamoto export / import 整站迁移；Apache-2.0。作者称 hatamoto.dev 上进程约 280 MB 内存、程序文件约 49 MB，可与 PostgreSQL 一起跑在约每月 5 美元档入口机上。

我并不是一开始就想做 CMS。我只是受够了为平台不断制造的问题打补丁、恢复、向客户道歉。网站很快会像被软件写、更新和阅读，也像被人写。我想要一个为此准备好、其余时候别挡路的 CMS。那就是 Hatamoto。

Hatamoto 1.0 已经在这里。

说明：漏洞、CWV、Sucuri、代理调查等数字均转述作者文中第三方口径，未在本稿独立复核。后半为 Hatamoto 产品介绍与作者主张，读者应对照原文与官方文档自行判断，勿当作对 WordPress 生态的中立终审。

来源

原作者：Ajay Chavda
原文标题：I've used WordPress for 20 years, and I've stopped recommending it
发布平台：hatamoto.dev
发布日期：2026年10月27日
原文链接：https://hatamoto.dev/post/wordpress-20-years-why-we-built-hatamoto
查询日：2026-10-28
HN：https://news.ycombinator.com/item?id=50266880

#WordPress #Hatamoto #CMS #经验分享 #AjayChavda #代理机构