01先给结论：插件数量的正确心态
「插件不能超过 10 个」是个流传很广但没有依据的说法。真正的判断标准是每个插件是否带来了不可替代的价值，以及它的代码质量是否可控。
- 一个写得很差的安全插件，比不装安全插件更危险
- 十个各自只加 5KB CSS 的小插件，可能比一个大插件更快
- 真正的问题是「功能重叠」：两个插件都 hook 同一个过滤器时，问题排查成本会指数上升
定期做一次插件审计：停用每个插件观察站点是否还有实际功能依赖它。三个月没被用到的插件，直接删掉而不是停用（停用仍占文件空间，也是潜在攻击面）。
02一、安全类：只装一个，但要选对
建议只装一个安全插件。安全类插件之间冲突最频繁，两个都开容易出现「A 封了 B 正在放行的 IP」这类难以定位的问题。
| 要解决的问题 | 判断标准 |
|---|---|
| CC / DDoS 攻击 | 是否有全局 QPS 熔断，且不落地 PHP |
| 暴力破解 | 是否限制登录尝试次数并可锁定 IP |
| 恶意爬虫 | 是否区分正常爬虫与伪造 UA 的高频抓取 |
| 误封风险 | 阈值是否可调、白名单是否好配置 |
03二、性能类：先量再优化
顺序很重要：先测出瓶颈在哪，再决定装什么。上来就同时装缓存、压缩、CDN、数据库优化四个插件，最后分不清是哪个起了作用，出问题也找不到源头。
- 页面缓存：动态查询慢就装。但如果站点已经很轻，缓存插件带来的复杂度可能超过收益
- 图片优化：几乎总是值得装。图片通常是页面体积的大头，转 WebP + 压缩的收益立竿见影
- 数据库清理：文章数量上千后再考虑。几百篇的站点手动清理反而更可靠
- CSS/JS 合并：现代 HTTP/2 下收益有限，且容易和主题、其他插件冲突，优先级最低
04三、SEO 类：通用功能只留一个
SEO 插件唯一必须遵守的规则是：通用 SEO 输出（标题描述、canonical、sitemap、og 标签）只能有一个插件负责。 两个插件同时输出会出现重复标签，搜索引擎遇到冲突信号可能直接忽略全部。
特色功能（结构化数据、内链推荐、图片 SEO）可以交给独立插件，但要在通用插件里关掉对应输出，避免重复。
05四、内容增强类：按站点类型决定
| 站点类型 | 值得装的内容增强插件 |
|---|---|
| 资源下载站 | 网盘下载按钮、链接转存管理 |
| 技术博客 | 代码高亮、Markdown 导入、大纲目录 |
| 图片站 / 摄影站 | 图片本地化、批量压缩、灯箱 |
| 内容更新频繁的站 | AI 辅助写作（人工审稿后发布） |
内容增强类插件是最容易「装了不用」的一类。装之前先问自己：这个功能我每周会用几次？少于一次的，先别装。
06五、备份类：不可省
备份是唯一「装了看不出效果，但出事时能救命」的一类。两个必须满足的条件：
- 1备份文件要存在站点服务器之外的地方（对象存储、另一台机器、本地）。存在同一台服务器上，磁盘故障时一起丢。
- 2定期做一次真实恢复演练。没验证过能恢复的备份，不能算是备份。
07插件选型的四个硬指标
- 最近更新时间：一年以上没更新的插件，先假设它存在未修复的兼容问题
- 兼容性声明：是否声明兼容你当前的 WordPress 与 PHP 版本
- 代码可读性：至少确认没有明显的混淆代码、没有多余的远程请求
- 卸载是否干净：停用后是否残留数据表与 option 记录。残留会影响后续排查