用 Claude Code 维护 WooCommerce 商城：SSH、WP-CLI 与 MCP 怎么分工，不懂编程也能改网站（Jason Career 的实例）

Jason Career 是我卖电子书、在线课程和咨询服务的 WordPress 网站，商店用 WooCommerce。2026 年 10 月起，日常运维交给 Claude Code：它通过 SSH 连到服务器，用 WordPress 的命令行工具 WP-CLI 查数据、改设置。前 10 天怎么开始、做了哪些事，我写在《看不懂 SSH 也能维护 WordPress》。这篇只谈商城那一半：支付、结账、缓存、防火墙，以及最近很多人问的 WordPress MCP。

先说结论：在电商网站上，我让 Claude Code 自己做只读检查、清缓存、有备份的设置修改，支付、结账、价格和顾客数据一律由我确认。工具方面，Jason Career 到 2026 年 10 月 29 日都只用 SSH 和 WP-CLI，没有装 MCP。WordPress、WooCommerce 和 Cloudways 都已经有官方的 MCP，各自适合不同的事，下面根据官方文档整理。

本文是我自己网站的运维记录，加上 2026 年 10 月 29 日查阅的 Anthropic、WordPress、WooCommerce、Cloudways 官方文档。插件版本、MCP 功能和各家界面都会变，操作前请以官方文档为准。本文不是信息安全或法律建议。

电商网站哪些事可以交给 Claude Code，哪些要人审

一般博客改坏了，顶多是页面错位。商城改坏了，可能是顾客付了钱却没收到课程，或者结账页根本打不开。所以我按“改错会不会涉及钱或顾客数据”分成三类：

第三类 Claude Code 也做得到，只是改错的代价由顾客承担。比如要不要关掉一个付款方式，牵涉到顾客习惯和支付合同，这些 AI 看不到。

实例一：用 WP-CLI 只读盘点插件和支付，不碰密钥

10 月 29 日，我请 Claude Code 整理 Jason Career 的支付和服务器资料。它在正式站只用只读命令，例如列出启用中的插件（WP-CLI 的 wp plugin list），再查 WooCommerce 各付款方式的开关状态。

盘点结果（2026 年 10 月 29 日）：

整份资料不含 API 密钥、商店代号、HashKey、HashIV、密码、顾客个人信息和订单明细。支付插件的设置里就存着这些值，所以“读设置”这件事也要先讲好：只看哪个付款方式开着，不把密钥字段读出来、不贴进对话或文档。

盘点也查出一件我没注意到的事：结账页同时有两个统一金流的信用卡选项，一个来自 PAYUNi Pro for WooCommerce，一个来自 Pay with PAYUNi，是两个不同的插件。顾客看到两个很像的选项，可能分不清要选哪个。

这属于第三类。要关哪一个会影响结账页和现有的付款流程，所以 Claude Code 只汇报、不动手，由我决定。

实例二：Cloudflare 防火墙别拦到支付回调

10 月 24 日，Jason Career 被大量爬虫拖垮：服务器内存耗尽宕机，结账页也跟着打不开。之后加上 Cloudflare 的防火墙规则，服务器负载从大约 13 降到 0.5 左右。

上规则时最需要注意的是支付回调。顾客在统一金流或 LINE Pay 付完款，是由支付方的服务器去访问网站的网址，通知“这笔已付款”。这种请求不是真人，过不了人机验证；被拦下来，就会变成顾客付了钱，订单却没变成已付款。所以规则里特别把这三种网址排除在人机验证之外：

• /wc-api/
• ?wc-api=
• /wp-json/

之后支付后台的记录里出现了几笔“无法处理回调”，10 月 24 日和 26 日各有几笔。查过之后，是我们测试防火墙时对回调网址发送的空请求，不是真实订单出错；记录里也没有找到“付款完成但订单没更新”的案例。

缓存也要分层考虑：Cloudways 服务器层有 Varnish，只清 WP Rocket 不一定清得到它，改完设置要两层都清。细节见《Cloudways 的 Varnish 和 WP Rocket 两层缓存》。

统一金流、LINE Pay、绿界各自的插件、手续费和拨款天数，比较在《WooCommerce 支付怎么选》。

实例三：银行转账订单，GA4 漏记购买

Jason Career 的服务类商品可以用银行转账付款。转账是事后才付，顾客下单后早就离开感谢页，等我们确认收款时，浏览器端的跟踪代码已经没机会执行，GA4 就漏记了这笔购买。

10 月 13 日改成由服务器在订单变成“已付款”时补发购买事件。这类修改涉及订单流程，但不改价格和付款方式，我把它归在第二类：开工前说明范围，改完验证。

WordPress MCP、WooCommerce MCP、Cloudways MCP：官方现在有什么

MCP（Model Context Protocol）是让 AI 连接外部系统的开放标准。Claude Code 用 claude mcp add 加入 MCP 服务器，用 /mcp 查看状态和登录（Claude Code 官方文档）。2026 年 10 月 29 日我查到的官方选项如下：

WooCommerce 官方文档列出的内置功能是：查询、新增、修改、删除商品；查询订单、查询订单备注、更新订单状态、新增订单备注。文档也直接提醒，订单和顾客相关的操作可能暴露个人信息，建议用只有必要权限的专用账号，应用程序密码不要放进版本控制，不用的就撤销。

Cloudways 官方的 MCP 说明页我能读到，但它的设置教程页在我查询时被网站的机器人验证拦住，没读到全文。实际的端点网址和令牌设置，请以登录 Cloudways 后台看到的为准。

Jason Career 为什么还是用 SSH 和 WP-CLI

SSH 加 WP-CLI 的好处是什么都能做：查插件、改设置、跑数据库查询、清缓存，一套工具就够。坏处也是什么都能做，所以安全只能靠规则和备份，这部分我在 CLAUDE.md 那篇写过怎么定规则。

MCP 的思路反过来：网站只开放几个功能，AI 只能用这几个。对商城来说，这个范围比较好控制，例如只开放查询商品和订单状态。但 WooCommerce 的 MCP 还是预览版，官方说接口可能会改；而 Jason Career 的工作大多落在服务器和插件设置上，例如 Varnish、Cloudflare 规则、支付插件盘点，这些都不在 WooCommerce 的内置功能里。

所以我目前的分工是：

• 网站内容和插件设置：继续用 SSH 和 WP-CLI，靠规则限制。
• 想让 AI 只碰商品、订单状态时：WooCommerce MCP 是比较干净的做法，等它离开预览阶段再评估。
• 服务器层的事：Cloudways MCP 能用只读令牌，适合先拿来查状态。

还有一点和防火墙有关：MCP Adapter 的 HTTP 端点在 /wp-json/ 下面，而 Jason Career 为了支付回调，已经把 /wp-json/ 排除在人机验证之外。如果之后要装，挡人的就只剩 WordPress 账号和应用程序密码，这个账号的权限更要压到最小。

让 AI 改商城前的安全清单

下面是我整理的清单，不管用 SSH 还是 MCP 都适用：

1. 最小权限：能只读就只读。要用 MCP，就开一个只有必要权限的专用账号；用 Cloudways 令牌，先开只读和到期时间。
2. 每个网站分开：账号、密钥和设置一个网站一套，一个出事不会牵连另一个。Jason Career 的服务器上还有另一个 WordPress 网站，命令要指定是哪一个。
3. 密钥不进对话：支付密钥、应用程序密码、数据库密码不贴进 Claude 的对话，也不放进 Git。盘点时只读开关状态，不读密钥字段。
4. 先备份再改：任何设置修改前先备份，备份失败就不改。
5. 支付和结账由人批准：付款方式开关、支付插件设置、结账字段、价格和折扣，Claude Code 只能提出建议和影响范围。
6. 改完验证到最后一步：改防火墙或缓存之后，确认结账页打得开、支付回调的网址没被拦。
7. 顾客数据不离开服务器：查订单只看状态和数量，不把姓名、Email、电话读进对话。

第一次用 Claude Code 的话，安装、权限和 MCP 的基本设置可以先看《Claude Code 中文入门》。

常见问题

Claude Code 可以维护 WooCommerce 商城吗？

可以，但要分清楚哪些事能交给它。Jason Career 让 Claude Code 通过 SSH 和 WP-CLI 做只读检查、清缓存、有备份的设置修改和防火墙调整；支付设置、结账页、价格和任何涉及顾客数据的变更，由我看过才动。

WordPress 有官方的 MCP 吗？

有。WordPress.org 上有官方的 MCP Adapter 插件，2026 年 10 月 29 日查到的版本是 0.7.1，需要 WordPress 6.9 以上，网站功能默认不开放，要明确标成公开才会出现在 MCP。WordPress.com 另有自己的 MCP 服务器，自建网站要通过 Jetpack 连接才能用。

WooCommerce MCP 能做什么？

根据 WooCommerce 官方文档，它目前是开发者预览版，内置的功能是查询、新增、修改、删除商品，以及查询订单、查询订单备注、更新订单状态和新增订单备注。官方提醒订单和顾客操作可能暴露个人信息，建议用只有必要权限的专用账号连接。

用 Claude Code 改 WordPress，要用 MCP 还是 SSH？

Jason Career 到 2026 年 10 月 29 日都用 SSH 和 WP-CLI，没有装 MCP Adapter。SSH 加 WP-CLI 什么都能做，所以要靠规则限制；MCP 只能用网站开放的功能，范围比较好控制，但 WooCommerce 的 MCP 还在预览阶段。

让 AI 改电商网站，哪些事一定要人工确认？

我的规则是：支付插件与付款方式设置、结账流程、商品价格与折扣、会员与订单数据、任何会让顾客数据离开服务器的操作，都要我看过再做。改设置前先备份，密钥不贴进对话。

加了 Cloudflare 防火墙，支付成功订单却没更新怎么办？

先检查防火墙有没有拦到支付回调的网址。Jason Career 在 2026 年 10 月 24 日上 Cloudflare 规则时，把 /wc-api/、?wc-api=、/wp-json/ 排除在人机验证之外，因为统一金流、LINE Pay 付款完成后是从它们的服务器访问这些网址通知网站。