Skip to main content
Glama

Royal MCP

面向安全优先的 WordPress MCP 服务器。 通过 API 密钥 + OAuth 2.1 认证、完整活动日志和基于能力(capability)的访问控制,将 Claude、ChatGPT 和 Gemini 连接到您的 WordPress 站点。

WordPress PHP License Version

在 WordPress.org 下载 · 文档 · Royal Plugins


一个将您的站点暴露为 Model Context Protocol 服务器的 WordPress 插件。AI 代理——Claude.ai 网页版、Claude Desktop、ChatGPT、自定义客户端——可以读写文章、页面、媒体、用户、菜单、WooCommerce 订单和 Elementor 页面,每次调用都经过能力门控、速率限制和审计日志。通过官方 WordPress.org 插件目录分发。

快速概览

认证

API 密钥(X-Royal-MCP-API-Key)或 OAuth 2.1(含 PKCE + 动态客户端注册,RFC 7591)

传输

MCP 2025-11-25 Streamable HTTP(单一 /mcp 端点,POST/GET/DELETE)

工具数量

最多 144 个(73 个 WordPress 核心 + 71 个条件插件集成)

Abilities API

WP 6.9+ — 每个工具也注册为 WordPress 能力(ability),可通过 WP 核心 REST 在 /wp-json/wp-abilities/v1/abilities/{name}/run 访问,也可通过 WordPress MCP Adapter 的命名 royal-mcp-server 访问

速率限制

每个 IP 60 次请求/分钟(可配置)

会话模型

滑动 24 小时 TTL,访问时刷新

活动日志

每次工具调用均被记录(工具名称 + 参数键;参数值永不记录)

分发

wp.org 插件目录 + GitHub 发布 + 通过 WP 管理后台自动更新

测试环境

PHP 7.4 → 8.3,WordPress 5.8 → 7.0

许可证

GPLv2+

Related MCP server: wp-mcp

能力

WordPress 核心(84 个工具,始终可用)

  • 内容 — 文章、页面、自定义文章类型(完整 CRUD + 修订 + 特色图片)

  • 分类法 — 分类目录、标签、自定义分类法、术语元数据、文章-术语关联

  • 媒体 — 浏览、上传(URL 或 base64)、更新元数据、删除

  • 评论 — 创建、审核(批准 / 垃圾 / 回收站)

  • 用户 — 读取显示名称和角色(不暴露邮箱和用户名)

  • 菜单 — 读取、创建项目、重新排序、更新(带破坏性写入保护护栏)

  • 主题 — 自定义 CSS、主题修改、活动主题检测

  • 站点 — 固定链接结构、选项(白名单)、站点信息

  • 搜索 — 跨内容按查询搜索

  • SEO — 在插件激活时读写 Yoast / Rank Math / AIOSEO 元数据

  • 诊断 — 站点状态(一次调用获取 WP/PHP/MySQL/插件/主题/cron)、PHP 错误日志尾部、WP cron 计划,以及 MCP royal_mcp_connection_health(返回路由、认证方法、会话 ID、插件版本,以及 Divi + Elementor + Gutenberg 的活动页面构建器版本)

插件集成(80 个工具,条件注册)

仅当集成插件处于激活状态时自动注册。

插件

工具数

覆盖内容

WooCommerce

29

产品、变体、属性、优惠券、订单(创建/更新/备注)、客户、商店统计

Elementor

8

克隆页面、替换文本、替换图片、获取大纲、读取单个元素、列出模板、导入模板、添加组件

GuardPress

7

安全评分、失败登录、被阻止的 IP、漏洞扫描、审计日志

Divi

6

格式检测(D4 短代码 vs D5 块)、页面大纲、布局验证、库列表 + 获取、查找/替换(具备构建器格式感知)

Royal AI Firewall

6

仪表盘统计、近期机器人攻击、每个机器人的策略(允许 / 阻止 / 质询)、每日汇总、一键紧急锁定

SiteVault

6

触发备份、监控进度、列出计划

Redirection

4

列出重定向(支持组 + URL 子字符串筛选)、创建 + 更新重定向(301 / 302 / 307 / 正则 / 组)、列出重定向组

Advanced Custom Fields

4

读写 ACF 字段,尊重每个字段的返回格式(水合的文章对象、解析的重复行、图片数组);枚举字段组以支持 AI 驱动的发现

Royal Ledger

4

软件成本、续费日期、许可证密钥(值永不暴露)

Royal Links

3

品牌短链接、点击统计

ForgeCache

3

缓存统计、清除缓存、清除 URL

WordPress Abilities API 桥接(WP 6.9+)

WordPress 6.9 引入了 Abilities API——一个允许插件注册 AI 代理可调用的类型化能力的原语。自 1.4.38 起,每个 Royal MCP 工具也注册为 WordPress 能力,为您提供三种方式访问相同的处理器:

  1. 原生 — Royal MCP 的 /wp-json/royal-mcp/v1/mcp Streamable HTTP 端点(不变,始终可用)。

  2. WP MCP Adapter — 如果安装了 wordpress/mcp-adapter 包,Royal MCP 会在 mcp_adapter_init 钩子上注册一个命名的 royal-mcp-server,与 adapter 的默认服务器并列。

  3. WP 核心 REST — 对于偏好核心 WP 端点的调用方,可直接在 /wp-json/wp-abilities/v1/abilities/{name}/run 调用能力。

相同的处理器,三种传输方式,一套每工具能力门控。可通过 royal_mcp_abilities_registration_enabled 选项禁用桥接(默认:开启)。

我们不做什么

明确的范围边界——集成模型是"可靠工作的窄工具",而非"暴露每一个 API 表面"。

  • 不从头生成组件级 Elementor。 原子组件(Editor V4)以不透明方式通过;我们从不解码原子模式,因为 Elementor 本身可能会改变它们。

  • 不写入 Beaver Builder / Bricks 页面构建器 JSON。 标准文章内容可读可写;页面构建器特定的 JSON 存储是不透明的,除非有专用工具覆盖。(Elementor 和 Divi 有专用工具——见上方集成表。)

  • 不创建主题构建器模板(Elementor 或其他)。

  • 不修改核心文件 — Royal MCP 从不写入 wp-content/themes、wp-includes 或 wp-admin。

  • 不通过 MCP 安装或升级插件。 发现可以;安装/激活/停用不可以。

  • 不使用原始 SQL。 查询仅通过 WP_Query 和 $wpdb->prepare()。

Royal MCP Pro(付费)

免费插件对个人站点所有者功能完备。Royal MCP Pro 将其扩展至代理机构和多站点运营者:

  • Divi Pro 套件 — 页面克隆、图片替换、模板导入、完整库 CRUD、D4→D5 迁移器、全局预设批量应用(8 个工具)

  • Elementor Pro 深度 — 超出免费集成的额外 Elementor 工具

  • 通用审计日志 — 每次 AI 操作均记录归属 + 导出

  • 每次写入 72 小时撤销 — 每个破坏性 Pro 工具都返回撤销令牌;可在窗口期内撤销任何操作

  • 通过标准 WordPress 更新器进行许可证门控更新 — 不依赖外部许可证服务器的运行时依赖

在 royalplugins.com/royal-mcp-pro 了解更多

连接

安装

  1. 从 WordPress.org 安装(推荐——通过 WP 管理后台自动更新)或上传 GitHub 发布 zip 包。

  2. Royal MCP → 设置 → 点击 生成 API 密钥。

  3. 在下方选择一个客户端。

Claude.ai 网页版(OAuth — 推荐)

最简单的路径——无需编辑配置文件,客户端中无需 API 密钥。

  1. 在 Claude.ai 中 → 设置 → 连接器 → 添加自定义连接器。

  2. URL:https://yoursite.com/wp-json/royal-mcp/v1/mcp

  3. 出现提示时批准 OAuth 同意屏幕。Claude.ai 会针对您的站点处理动态客户端注册 + PKCE 流程。

Claude Desktop(.mcpb 一键捆绑包 — 1.4.38 新增)

最简单的 Claude Desktop 路径——无需 mcp-remote、无需 npx、无需编辑配置文件。

  1. 从最新 GitHub 发布下载 royal-mcp-1.4.38.mcpb。

  2. 双击 .mcpb 文件 — Claude Desktop 会打开安装提示。

  3. 出现提示时输入您的站点 URL + API 密钥。连接即生效。

该捆绑包附带一个零依赖的 stdio-to-HTTPS 桥接器,运行于 Node ≥18,Claude Desktop 已内置该环境。有关 .mcpb 规范,请参阅 Claude Desktop MCP Bundles。

Claude Desktop(通过 mcp-remote 使用 OAuth)

{
  "mcpServers": {
    "my-wordpress": {
      "command": "npx",
      "args": ["-y", "mcp-remote", "https://yoursite.com/wp-json/royal-mcp/v1/mcp"]
    }
  }
}

配置文件路径:~/Library/Application Support/Claude/claude_desktop_config.json(macOS)或 %APPDATA%\Claude\claude_desktop_config.json(Windows)。

Claude Desktop(API 密钥)

跳过 OAuth,通过请求头进行身份验证:

{
  "mcpServers": {
    "my-wordpress": {
      "command": "npx",
      "args": [
        "-y", "mcp-remote",
        "https://yoursite.com/wp-json/royal-mcp/v1/mcp",
        "--header", "X-Royal-MCP-API-Key:YOUR_API_KEY"
      ]
    }
  }
}

ChatGPT

ChatGPT 的自定义 MCP 连接器使用与 Claude.ai 网页版相同的 URL。按照 ChatGPT 的连接器流程,粘贴 https://yoursite.com/wp-json/royal-mcp/v1/mcp。

原始 HTTP(自定义客户端)

# 1. Initialize a session. -i prints headers so you can grab Mcp-Session-Id.
curl -i -X POST https://yoursite.com/wp-json/royal-mcp/v1/mcp \
  -H "X-Royal-MCP-API-Key: YOUR_KEY" \
  -H "Content-Type: application/json" \
  -H "Accept: application/json, text/event-stream" \
  -d '{
    "jsonrpc": "2.0",
    "method": "initialize",
    "id": 1,
    "params": {
      "protocolVersion": "2025-11-25",
      "capabilities": {},
      "clientInfo": {"name": "my-app", "version": "1.0"}
    }
  }'

# 2. List available tools using the session id from the response header.
curl -X POST https://yoursite.com/wp-json/royal-mcp/v1/mcp \
  -H "X-Royal-MCP-API-Key: YOUR_KEY" \
  -H "Mcp-Session-Id: <session_id>" \
  -H "Content-Type: application/json" \
  -d '{"jsonrpc": "2.0", "method": "tools/list", "id": 2}'

安全模型

层

作用

API 密钥

32 位十六进制,时序安全比较。通过 X-Royal-MCP-API-Key 请求头发送。可从管理后台重新生成,无需重启服务器。

OAuth 2.1

RFC 7591 动态客户端注册、RFC 8414 元数据、要求 PKCE S256、支持刷新令牌。无隐式授权。无 client_credentials 授权。

能力门控

每个工具都会检查 WordPress 能力。edit_posts 用于创建/更新,manage_options 用于站点设置,edit_post 用于单个操作的逐篇文章检查。

速率限制

每个 IP 每分钟 60 个请求,滑动窗口。

会话模型

滑动 24 小时 TTL,访问时刷新。加密安全的 32 字节会话 ID。

活动日志

每次工具调用都会向数据库日志写入一行。记录:工具名称、参数键、IP、User-Agent、错误。绝不记录参数值(它们可能包含客户数据)。

OAuth 状态恢复

一键 重置 OAuth 状态 管理按钮可清除所有客户端、令牌和授权码,而不影响您的 API 密钥或设置。

发现

根据 RFC 8414 + RFC 9728,在站点根目录提供 .well-known/oauth-authorization-server 和 .well-known/oauth-protected-resource。

完整安全架构:royalplugins.com/support/royal-mcp/

项目状态

延伸阅读

相关项目

许可证

GPLv2 或更高版本 — 参见 LICENSE 或 GNU 网站。

Royal MCP 按原样提供。API 密钥保护您的端点;请像保护任何其他凭据一样保护它们。您对任何 AI 平台被允许在您的 WordPress 站点上执行的内容、命令和操作负责。


Related MCP Connectors

Related MCP Servers

  • A
    license
    Not graded
    quality
    A
    maintenance
    A free WordPress plugin that turns your site into a governed MCP server, exposing 153 curated WordPress abilities (posts, media, users, WooCommerce, ACF, SEO) as tools for AI agents like Claude and Cursor. Every ability is off by default, scoped to a least-privilege user, capability-gated, and logged.
    5
    GPL 2.0
  • A
    license
    Not graded
    quality
    C
    maintenance
    MCP server for WordPress content management via REST API, supporting posts, pages, media, comments, and terms through natural language interfaces like Cursor, ChatGPT, Codex, and Claude.
    13 npm
    MIT
  • A
    license
    Not graded
    quality
    A
    maintenance
    Turns a WordPress site into a native MCP server: 39 structured tools for content, media, taxonomies, comments, widgets and site settings, with OAuth 2.1 + PKCE and per-call WordPress capability checks. Pure PHP inside WordPress — no bridge server or middleware to host.
    GPL 2.0
  • A
    license
    B
    quality
    C
    maintenance
    Enables MCP-compatible clients to securely operate a WordPress site through a signed REST API, managing plugins, content, themes, menus, media, users, WooCommerce, Elementor, audits, and allowlisted WP-CLI commands.
    58
    37 npm
    MIT