wpagent-mcp

一个 MCP 服务器，让 Claude —— 或任何兼容 MCP 的客户端 —— 真正操作 WordPress 站点：插件、内容、主题、菜单、媒体、用户、WooCommerce、Elementor 和 WP-CLI。

它通过免费的 WpAgent 桥接插件，经 REST API 与你的站点通信，每个请求都使用 HMAC-SHA256 签名。不涉及任何站点凭据，也没有数据经过第三方服务：连接就是客户端 → 你的 WordPress，直连。

安装

无需提前安装任何东西 —— 下面的配置会按需获取它。

1. 在你的 WordPress 站点上安装 WpAgent 插件并激活它。

2. 在 WordPress 管理后台中，打开 WpAgent 并生成一个 API 密钥。选择你希望助手拥有的权限；只读密钥是稳妥的起步方式。

3. 将服务器添加到你的 MCP 客户端。对于 Claude Desktop，在 claude_desktop_config.json 中：

{
  "mcpServers": {
    "wpagent": {
      "command": "npx",
      "args": ["-y", "wpagent-mcp"],
      "env": {
        "WP_SITE_URL": "https://your-site.com",
        "WP_API_KEY_ID": "wpaia_xxxxxxxxxxxx",
        "WP_API_SECRET": "the secret shown once when you generated the key"
      }
    }
  }
}

对于 Claude Code：

claude mcp add wpagent \
  --env WP_SITE_URL=https://your-site.com \
  --env WP_API_KEY_ID=wpaia_xxxxxxxxxxxx \
  --env WP_API_SECRET=... \
  -- npx -y wpagent-mcp

环境变量

Related MCP server: wp-mcp-control-server

它能做什么

它不会做什么

该 API 无法访问任意 PHP、无法访问你的数据库、也无法访问 wp-config.php。WP-CLI 执行处于禁用状态，除非站点所有者在服务器上添加 define('WPAIA_ENABLE_WPCLI', true);，即便如此，也只运行允许列表中的命令 —— db、eval、eval-file、shell、server、config 和 package 始终被拒绝。

安全性

• 每个请求都使用 HMAC-SHA256 签名并带有时间戳；超过五分钟的请求会被拒绝。

• 权限按密钥划分，并在每条路由上进行检查，因此只读密钥始终保持只读。

• 每次调用都会写入审计日志，你可以在 WordPress 管理后台中查看。

• 在 WordPress 中吊销密钥会立即生效。

在执行破坏性操作前，请让助手先确认，并保留一份最新备份 —— 当你要求时，它可以删除内容。

相关项目

• WpAgent —— 基于同一桥接插件构建的托管仪表盘，提供免费的只读套餐

• 桥接插件采用 GPL-2.0-or-later 许可；本服务器采用 MIT 许可。

许可证

MIT © KipDev