wp-site-audit-and-onboarding

WordPress サイト監査とオンボーディングスキル

概要

引き継いだ WordPress リポジトリや、なじみのないサイトのコードベースを体系的にオンボーディングするためのガイダンスです。基本原則： 詳細なレビューに入る前に、まずスタックを分類し、構成要素を把握し、最もリスクの高い次の確認事項を特定します。このスキルは、WordPress スキルパック全体への入り口として使います。対象には、プラグイン、テーマ、ACF、ヘッドレス、WooCommerce、REST、移行、パフォーマンス、セキュリティ、CI/CD、WP-CLI、Playground、PHPStan が含まれます。

目的は、すべてのファイルを一度に網羅的にレビューすることではありません。目的は次のとおりです。

1. どのような種類の WordPress システムなのかを特定する
2. アーキテクチャ上の重要箇所を見つける
3. 明らかなリスクの兆候を明らかにする
4. 次に確認すべきスキルを優先順位順に提案する

使用するタイミング

次の場合に使用します：

• 新しい WordPress リポジトリを引き継ぐとき
• クライアントのサイトのコードベースを初めてレビューするとき
• プロジェクトがプラグイン中心、テーマ中心、ヘッドレス、WooCommerce 中心、マルチサイト、またはページビルダー中心かを把握するとき
• 移行、監査、モダナイズ、リリースの前にリスクの範囲を見定めるとき
• 専門家による詳細なレビューの前に、手早くアーキテクチャマップを作成するとき
• ユーザーが次のような質問をしたとき：
  • 「この WordPress リポジトリを監査してください」
  • 「このサイトのオンボーディングを手伝ってください」
  • 「この WordPress プロジェクトではどのスタックを使っていますか？」
  • 「このコードベースはどこからレビューすればよいですか？」
  • 「ここで最もリスクの高い領域はどこですか？」

次の場合には使用しません：

• セキュリティだけを対象とした包括的なレビュー（wp-security-review を使用）
• パフォーマンスだけを対象とした包括的なレビュー（wp-performance-review を使用）
• プラグインの範囲がすでに明らかな場合の、プラグインアーキテクチャの詳細なレビュー（wp-plugin-development を使用）
• テーマの範囲がすでに明らかな場合の、テーマの詳細なレビュー（wp-theme-development を使用）
• 対象領域がすでに明らかな場合の、WooCommerce、ACF、REST、またはヘッドレスに絞った分析

監査ワークフロー

次の7段階のワークフローに従ってください。

1) オンボーディング対象を特定する

何を監査するのかを判断します。

• リポジトリ全体
• 単一のプラグイン
• 単一のテーマ
• wp-content/ サブツリー
• WordPress を構成要素の一つとして含むモノレポのアプリ
• ドキュメントのみ、または CI のみの設定レイヤー

対象がリポジトリ全体ではない場合は、意図的に対象外としている範囲を記録します。

2) まずプロジェクトの形態を検出する

コードベースを評価する前に分類します。

スタックを示す可能性のある要素：

• プラグイン中心
  • メインプラグインのヘッダー
  • mu-plugins/
  • カスタム投稿タイプ、タクソノミー、管理画面ページ
• テーマ中心
  • style.css、theme.json、templates/、parts/、functions.php
• ブロック／Gutenberg 中心
  • block.json、src/、build/、JSX、ブロック登録
• WooCommerce 中心
  • woocommerce/ テンプレート、HPOS 宣言、決済ゲートウェイのクラス、カート／チェックアウトのフック
• ヘッドレス／WPGraphQL
  • フロントエンドアプリのフォルダー、GraphQL ルート、Webhook、再検証フロー、プレビュー認証
• REST／API 中心
  • register_rest_route()、スキーマのコールバック、外部連携
• ACF／コンテンツモデル中心
  • acf-json/、CPT／タクソノミーの登録、フィールドグループのエクスポート、メタデータの多用
• マルチサイト
  • マルチサイト関連の定数、ネットワーク管理者向けのロジック、サイト／ブログの切り替え、ネットワーク全体を対象とした CLI または移行コード
• Bedrock／Composer 管理
  • composer.json、web/、config/application.php、roots／bedrock のレイアウト
• ページビルダー中心／移行の影響を受けやすい
  • Elementor、Divi、WPBakery、Beaver Builder、ショートコードへのロックイン

3) 主要な構成要素を洗い出す

コードベースの実用的なマップを作成します。

• ブートストラップファイル
• リポジトリ内の有効なプラグイン／テーマ
• カスタムコードのディレクトリ
• ビルドツール（package.json、composer.json、GitHub Actions）
• デプロイスクリプトと運用ドキュメント
• テスト（phpunit、playwright、統合テスト／E2E のフォルダー）
• 環境の前提条件を説明するドキュメント

ファイル一覧をそのまま出力しないでください。構成を、意味のあるコンポーネントにまとめて要約します。

4) リスクの兆候を探す

オンボーディングのリスクを早期に明らかにします。

一般的に価値の高い兆候：

• 境界が明確でない、複数のカスタムプラグインや複雑なテーマロジック
• 直接的な SQL、カスタムテーブル、アップグレードルーチン
• カスタム REST／GraphQL／認証コード
• WooCommerce のチェックアウト、注文、決済、Webhook の統合
• コミット済みアセットとの乖離が懸念されるブロック／テーマのビルドシステム
• ACF／メタクエリへの大きな依存
• マルチサイトを前提とした設計
• ゲート条件が不明確なリリース／デプロイ自動化
• ページビルダーへのロックインや移行負債の兆候
• テスト、静的解析、ローカル／開発環境のドキュメントがない

5) 専門スキルへ案内する

このスキルの範囲を超えて掘り下げず、次のレビュー先を推奨します。

フォローアップ先の例：

• カスタムプラグインのアーキテクチャ → wp-plugin-development
• カスタムテーマ／ブロックテーマ → wp-theme-development
• Gutenberg ブロック → wp-block-development
• WooCommerce のフロー → wp-woocommerce-dev
• REST ルート → wp-rest-api-development
• ACF／CPT／タクソノミーのモデリング → wp-acf-and-content-modeling
• ヘッドレス／WPGraphQL → wp-headless-and-wpgraphql
• 運用スクリプト／WP-CLI／マルチサイトコマンド → wp-wpcli-and-ops
• 移行／スキーマ変更 → wp-migration-upgrade-review
• デプロイパイプライン → wp-ci-cd-and-release-engineering
• 静的解析の状況 → wp-phpstan-review
• 再現可能なデモやバグの再現 → wp-playground-development
• 複数領域にまたがるセキュリティリスク → wp-security-review
• 複数領域にまたがるパフォーマンスリスク → wp-performance-review

6) 次のアクションに優先順位を付ける

出力では、次の項目を分けて記載します。

• 直ちにレビューすべき優先事項 — 次の監査を開始する箇所
• 二次的なフォローアップ — 重要ですが、最優先ではありません
• コンテキストに関する注記 — 緊急性のある問題ではないものの、アーキテクチャ上役立つ所見

7) 深刻度は状況に応じて判断する

オンボーディングでは、深刻度を慎重に扱います。

• CRITICAL： 本番環境のリスク、セキュリティ／コマース／認証／移行に関する危険、または安全な作業を妨げるリポジトリの曖昧さが生じる可能性が高い
• WARNING： 重要なリスク、または早めに確認すべき情報の不足
• INFO： 構成に関する注記、モダナイズの機会、またはリスクの低いフォローアップ

このスキルでは、通常のアーキテクチャの複雑さだけを理由に、CRITICAL の問題を作り出してはいけません。

ファイルと対象領域のチェック

リポジトリのルート／アーキテクチャ層

• CRITICAL：複雑なリポジトリで、カスタムコードの信頼できる唯一の参照先が明確でない
• WARNING：有効な対象が不明な、重複したプラグイン／テーマのコピーが複数ある
• WARNING：ソースフォルダーやスクリプトが明確でないまま、ビルド成果物がコミットされている
• INFO：リポジトリのドキュメント、ローカル環境のセットアップ、コード所有者に関する注記を改善できる

プラグイン領域

• WARNING：明確な境界がないまま、カスタムプラグインとベンダーコードが混在している
• WARNING：ルーティング、チェックアウト、コンテンツモデルなど、同じ領域で複数のカスタムプラグインが役割を重複して担っている
• INFO：アーキテクチャの詳細なレビューには wp-plugin-development を案内する

テーマ領域

• WARNING：テーマにプラグインのようなビジネスロジック、API、移行コードが含まれている
• WARNING：クラシックテーマとブロックテーマの境界が不明確
• INFO：wp-theme-development または wp-block-development を案内する

コマース／統合領域

• CRITICAL：決済、Webhook、注文のロジックが存在するが、テストされていない、または適切に分離されていない
• WARNING：WooCommerce のカスタマイズが深く、アップグレード時の不安定化が懸念される
• INFO：wp-woocommerce-dev を案内する

ヘッドレス／API 領域

• CRITICAL：カスタム認証、プレビュー、キャッシュ無効化の経路があるが、ドキュメントが明確でない
• WARNING：所有者が不明確なまま、REST と GraphQL の領域が混在している
• INFO：wp-headless-and-wpgraphql または wp-rest-api-development を案内する

運用／デリバリー領域

• WARNING：ロールバックや環境に関する注記がないまま、デプロイ／リリースのスクリプトが存在する
• WARNING：明確な安全策がないまま、WP-CLI の自動化がマルチサイトまたは本番環境に近いデータを操作している
• INFO：wp-ci-cd-and-release-engineering または wp-wpcli-and-ops を案内する

すばやく検出するための検索パターン（ONBOARD-21）

以下の rg コマンドを使用して、プロジェクトをすばやく分類します。

スタックの特定

rg -n "Plugin Name:|register_activation_hook|register_deactivation_hook|register_uninstall_hook" . -g '*.php'
rg -n "theme\.json|Template Name:|add_theme_support\(|register_nav_menus\(|after_setup_theme" . -g '*.{php,json,css}'
rg -n "block\.json|registerBlockType|@wordpress/|wp\.blocks|useBlockProps|InnerBlocks" . -g '*.{json,js,jsx,ts,tsx,php}'

プラットフォームとパッケージのレイアウト

rg -n "roots/bedrock|config/application\.php|composer install|wp core download" . -g '*.{json,php,md,yml,yaml,sh}'
rg -n "multisite|is_multisite\(|switch_to_blog\(|restore_current_blog\(|WP_ALLOW_MULTISITE|SUNRISE" . -g '*.{php,md,yml,yaml}'
rg -n "woocommerce|WC_|Automattic\\WooCommerce|FeaturesUtil::declare_compatibility|action_scheduler" . -g '*.{php,js,md,yml,yaml}'

コンテンツ、API、ヘッドレスのシグナル

rg -n "acf-json|acf_add_local_field_group|register_post_type\(|register_taxonomy\(|meta_query|get_field\(|the_field\(" . -g '*.{php,json}'
rg -n "register_rest_route\(|WP_REST_Controller|permission_callback|rest_api_init" . -g '*.php'
rg -n "graphql|wpgraphql|revalidate|preview|previewData|headless|Next\.js|next build|ISR|webhook" . -g '*.{php,js,jsx,ts,tsx,md,yml,yaml}'

移行とビルダーのシグナル

rg -n "elementor|divi|vc_|wpbakery|beaver builder|shortcode|\[[a-z0-9_-]+\]" . -g '*.{php,js,json,md,xml}'
rg -n "dbDelta\(|CREATE TABLE|ALTER TABLE|update_option\(\s*'[^']*version|schema" . -g '*.php'

デリバリーと品質のシグナル

rg -n "phpunit|WP_UnitTestCase|playwright|cypress|codecept|phpstan|psalm|eslint|wpcs|phpcs" . -g '*.{php,xml,json,js,ts,md,yml,yaml}'
rg -n "workflow|deploy|release|rollback|artifact|svn|wordpress\.org|rsync|capistrano" . -g '*.{md,yml,yaml,sh,json}'

参考ファイル

• references/stack-detection-and-signals.md - WordPress のコードベースをすばやく分類する方法と、各スタックシグナルが示す内容
• references/audit-checklist.md - リポジトリとコードベースの初期オンボーディングに使える実用的なチェックリスト
• references/routing-and-followups.md - オンボーディング後に適切な WordPress 専門スキルへリポジトリを引き継ぐ方法
• references/sample-onboarding-output.md - 有用なオンボーディング概要のレポート形式の例

出力形式（ONBOARD-23）

次の構成を使用してください。

1. プロジェクトの概要

• リポジトリまたは対象のパス
• 主な分類
• その他の分類
• 検出された主要なスタックシグナル

2. アーキテクチャの概要

• 主なコード領域
• カスタムコンポーネント
• ビルド／テスト／デプロイの領域
• 特異なプラットフォーム特性

3. 優先度の高い所見

深刻度別に分類してください。

• CRITICAL
• WARNING
• INFO

各所見には次の内容を含めてください。

1. ファイルまたは領域
2. 問題／リスクの概要
3. オンボーディングまたは安全な後続作業にとって重要な理由
4. 推奨する次のレビュー用スキルまたはアクション

4. 推奨レビュー順序

次に行うレビューを、以下のような例に沿って2～5件、順番に列挙してください。

1. カスタムコマースプラグインには wp-plugin-development
2. チェックアウトと HPOS 互換性には wp-woocommerce-dev
3. リリースとデプロイのフローには wp-ci-cd-and-release-engineering

5. 未解決事項

利用可能なファイルから判断できなかった内容を挙げてください。たとえば、次のような項目です。

• 本番環境でプラグインが有効化されているかどうか
• コミット済みのビルド成果物がソースと一致しているかどうか
• マルチサイト／ネットワークモードが実際に有効かどうか
• 文書化されていない外部サービスが存在するかどうか

最後に

これはオンボーディングと適切な振り分けを行うスキルです。有用で具体的かつ次の行動につながる内容にしてください。一度に検出したすべてのサブシステムを詳細にレビューするものではありません。