用 Claude Code 維護 WooCommerce 商城：SSH、WP-CLI 與 MCP 怎麼分工，不懂程式也能改網站（Jason Career 的實例）

Jason Career 是我賣電子書、線上課程和諮詢服務的 WordPress 網站，商店用 WooCommerce。2026 年 10 月起，日常維運交給 Claude Code：它透過 SSH 連到主機，用 WordPress 的命令列工具 WP-CLI 查資料、改設定。前 10 天怎麼開始、做了哪些事，我寫在〈看不懂 SSH 也能維運 WordPress〉。這篇只談商城那一半：金流、結帳、快取、防火牆，以及最近很多人問的 WordPress MCP。

先說結論：在電商網站上，我讓 Claude Code 自己做唯讀檢查、清快取、有備份的設定修改，金流、結帳、價格和顧客資料一律由我確認。工具方面，Jason Career 到 2026 年 10 月 29 日都只用 SSH 和 WP-CLI，沒有裝 MCP。WordPress、WooCommerce 和 Cloudways 都已經有官方的 MCP，各自適合不同的事，下面依官方文件整理。

本文是我自己網站的維運紀錄，加上 2026 年 10 月 29 日查閱的 Anthropic、WordPress、WooCommerce、Cloudways 官方文件。外掛版本、MCP 功能和各家介面都會變，操作前請以官方文件為準。本文不是資安或法律建議。

電商網站哪些事可以交給 Claude Code，哪些要人審

一般部落格改壞了，頂多是頁面跑版。商城改壞了，可能是顧客付了錢卻沒收到課程，或結帳頁根本打不開。所以我依「改錯會不會碰到錢或顧客資料」分成三類：

第三類 Claude Code 也做得到，只是改錯的代價由顧客承擔。像要不要關掉一個付款方式，牽涉到顧客習慣和金流合約，這些 AI 看不到。

實例一：用 WP-CLI 唯讀盤點外掛和金流，不碰金鑰

10 月 29 日，我請 Claude Code 整理 Jason Career 的金流和主機資料。它在正式站只用唯讀指令，例如列出啟用中的外掛（WP-CLI 的 wp plugin list），再查 WooCommerce 各付款方式的開關狀態。

盤點結果（2026 年 10 月 29 日）：

整份資料不含 API 金鑰、商店代號、HashKey、HashIV、密碼、顧客個資和訂單明細。金流外掛的設定裡就存著這些值，所以「讀設定」這件事也要先講好：只看哪個付款方式開著，不把金鑰欄位讀出來、不貼進對話或文件。

盤點也查出一件我沒注意到的事：結帳頁同時有兩個統一金流的信用卡選項，一個來自 PAYUNi Pro for WooCommerce，一個來自 Pay with PAYUNi，是兩個不同的外掛。顧客看到兩個很像的選項，可能分不清要選哪個。

這屬於第三類。要關哪一個會影響結帳頁和既有的付款流程，所以 Claude Code 只回報、不動手，由我決定。

實例二：Cloudflare 防火牆別擋到金流回傳

10 月 24 日，Jason Career 被大量爬蟲拖垮：主機記憶體耗盡當機，結帳頁也跟著打不開。之後加上 Cloudflare 的防火牆規則，主機負載從大約 13 降到 0.5 左右。

上規則時最需要注意的是金流回傳。顧客在統一金流或 LINE Pay 付完款，是由金流的伺服器去打網站的網址通知「這筆已付款」。這種請求不是真人，過不了人機驗證；被擋下來，就會變成顧客付了錢，訂單卻沒變成已付款。所以規則裡特別把這三種網址排除在人機驗證之外：

• /wc-api/
• ?wc-api=
• /wp-json/

之後金流後台的紀錄裡出現了幾筆「無法處理回呼」，10 月 24 日和 26 日各有幾筆。查過之後，是我們測試防火牆時對回傳網址送的空請求，不是真實訂單出錯；紀錄裡也沒有找到「付款完成但訂單沒更新」的案例。

快取也要分層想：Cloudways 主機層有 Varnish，只清 WP Rocket 不一定清得到它，改完設定要兩層都清。細節見〈Cloudways 的 Varnish 和 WP Rocket 兩層快取〉。

統一金流、LINE Pay、綠界各自的外掛、手續費和撥款天數，比較在〈WooCommerce 金流怎麼選〉。

實例三：銀行轉帳訂單，GA4 漏記購買

Jason Career 的服務類商品可以用銀行轉帳付款。轉帳是事後才付，顧客下單後早就離開感謝頁，等我們確認收款時，瀏覽器端的追蹤碼已經沒機會執行，GA4 就漏記了這筆購買。

10 月 13 日改成由伺服器在訂單變成「已付款」時補送購買事件。這類修改碰到訂單流程，但不改價格和付款方式，我把它歸在第二類：開工前說明範圍，改完驗證。

WordPress MCP、WooCommerce MCP、Cloudways MCP：官方現在有什麼

MCP（Model Context Protocol）是讓 AI 連到外部系統的開放標準。Claude Code 用 claude mcp add 加入 MCP 伺服器，/mcp 查看狀態和登入（Claude Code 官方文件）。2026 年 10 月 29 日我查到的官方選項如下：

WooCommerce 官方文件列出的內建功能是：查詢、新增、修改、刪除商品；查詢訂單、查詢訂單備註、更新訂單狀態、新增訂單備註。文件也直接提醒，訂單和顧客相關的操作可能暴露個人資料，建議用只有必要權限的專用帳號，應用程式密碼不要放進版本控制，不用的就撤銷。

Cloudways 官方的 MCP 說明頁我能讀到，但它的設定教學頁在我查詢時被網站的機器人驗證擋住，沒讀到全文。實際的端點網址和權杖設定，請以登入 Cloudways 後台看到的為準。

Jason Career 為什麼還是用 SSH 和 WP-CLI

SSH 加 WP-CLI 的好處是什麼都能做：查外掛、改設定、跑資料庫查詢、清快取，一套工具就夠。壞處也是什麼都能做，所以安全只能靠規則和備份，這部分我在 CLAUDE.md 那篇寫過怎麼訂規則。

MCP 的思路反過來：網站只開放幾個功能，AI 只能用這幾個。對商城來說，這個範圍比較好控制，例如只開放查詢商品和訂單狀態。但 WooCommerce 的 MCP 還是預覽版，官方說介面可能改；而 Jason Career 的工作大多落在主機和外掛設定，例如 Varnish、Cloudflare 規則、金流外掛盤點，這些都不在 WooCommerce 的內建功能裡。

所以我目前的分工是：

• 網站內容和外掛設定：繼續用 SSH 和 WP-CLI，靠規則限制。
• 想讓 AI 只碰商品、訂單狀態時：WooCommerce MCP 是比較乾淨的做法，等它離開預覽階段再評估。
• 主機層的事：Cloudways MCP 能用唯讀權杖，適合先拿來查狀態。

還有一點和防火牆有關：MCP Adapter 的 HTTP 端點在 /wp-json/ 底下，而 Jason Career 為了金流回傳，已經把 /wp-json/ 排除在人機驗證之外。如果之後要裝，擋人的就只剩 WordPress 帳號和應用程式密碼，這把帳號的權限更要壓到最小。

讓 AI 改商城前的安全清單

下面是我整理的清單，不管用 SSH 還是 MCP 都適用：

1. 最小權限：能唯讀就唯讀。要用 MCP，就開一個只有必要權限的專用帳號；用 Cloudways 權杖，先開唯讀和到期時間。
2. 每個網站分開：帳號、金鑰和設定一個網站一套，一個出事不會牽連另一個。Jason Career 的主機上還有另一個 WordPress 網站，指令要指定是哪一個。
3. 金鑰不進對話：金流金鑰、應用程式密碼、資料庫密碼不貼進 Claude 的對話，也不放進 Git。盤點時只讀開關狀態，不讀金鑰欄位。
4. 先備份再改：任何設定修改前先備份，備份失敗就不改。
5. 金流和結帳由人核准：付款方式開關、金流外掛設定、結帳欄位、價格和折扣，Claude Code 只能提出建議和影響範圍。
6. 改完驗證到最後一步：改防火牆或快取之後，確認結帳頁打得開、金流回傳的網址沒被擋。
7. 顧客資料不離開主機：查訂單只看狀態和數量，不把姓名、Email、電話讀進對話。

第一次用 Claude Code 的話，安裝、權限和 MCP 的基本設定可以先看〈Claude Code 繁中入門〉。

常見問題

Claude Code 可以維護 WooCommerce 商城嗎？

可以，但要分清楚哪些事能交給它。Jason Career 讓 Claude Code 透過 SSH 和 WP-CLI 做唯讀檢查、清快取、有備份的設定修改和防火牆調整；金流設定、結帳頁、價格和任何碰到顧客資料的變更，由我看過才動。

WordPress 有官方的 MCP 嗎？

有。WordPress.org 上有官方的 MCP Adapter 外掛，2026 年 10 月 29 日查到的版本是 0.7.1，需要 WordPress 6.9 以上，網站功能預設不開放，要明確標成公開才會出現在 MCP。WordPress.com 另有自己的 MCP 伺服器，自架網站要透過 Jetpack 連線才能用。

WooCommerce MCP 能做什麼？

依 WooCommerce 官方文件，它目前是開發者預覽版，內建的功能是查詢、新增、修改、刪除商品，以及查詢訂單、查詢訂單備註、更新訂單狀態和新增訂單備註。官方提醒訂單和顧客操作可能暴露個人資料，建議用只有必要權限的專用帳號連線。

用 Claude Code 改 WordPress，要用 MCP 還是 SSH？

Jason Career 到 2026 年 10 月 29 日都用 SSH 和 WP-CLI，沒有裝 MCP Adapter。SSH 加 WP-CLI 什麼都能做，所以要靠規則限制；MCP 只能用網站開放的功能，範圍比較好控制，但 WooCommerce 的 MCP 還在預覽階段。

讓 AI 改電商網站，哪些事一定要人工確認？

我的規則是：金流外掛與付款方式設定、結帳流程、商品價格與折扣、會員與訂單資料、任何會讓顧客資料離開主機的操作，都要我看過再做。改設定前先備份，金鑰不貼進對話。

加了 Cloudflare 防火牆，金流付款成功訂單卻沒更新怎麼辦？

先檢查防火牆有沒有擋到金流回傳的網址。Jason Career 在 2026 年 10 月 24 日上 Cloudflare 規則時，把 /wc-api/、?wc-api=、/wp-json/ 排除在人機驗證之外，因為統一金流、LINE Pay 付款完成後是從它們的伺服器打這些網址通知網站。