HEB Product Publisher

HEB Product Publisher 一体化 WordPress 产品多站点分发插件。同一份插件在主站作为 Hub（编辑 → 翻译 → 分发），在各语言站作为 Receiver（接收推送 + 暴露站点信息），翻译通过 OpenRouter。 更新通过本仓库的 GitHub Releases 直接推送到 WordPress 的原生更新流程——打一个 Release，所有站点自动在「仪表盘 → 更新」里出现可一键更新。 功能 - 主站后台在产品/解决方案编辑页选中多个目标站点一键分发。 - 默认支持的 post type：products、solutions（hierarchical CPT 的父级关系会自动跨站重映射，前提是父级也已分发）；可通过 filter hebppdistributableposttypes 扩展。 - 实时拉取目标站点的语言（locale）与分类（taxonomies/terms）。 - 每个目标站可独立勾选目标分类（支持预选匹配 + 全选/全不选）。 - 通过 OpenRouter 自动把标题、正文、摘要、ACF 文本翻译到目标语言； - 保留 HTML / URL / 数字 / 日期 / 型号编码 / ACF 选项键。 - 目标站 /import-product 接口：幂等（sourcepostid + sourcesite）、缺失的 term slug 自动创建。 - Hreflang 多语言 SEO 标签： - 产品/方案页：分发流程自动维护 hebpplangmap，前台 自动输出整组 + x-default，且全站双向。 - 页面/文章：在编辑界面右侧「跨语言版本（hreflang）」meta box 里手动填入各语言 URL，与产品复用同一份渲染器。 - 插件自带 GitHub Releases 自更新机制。 安全机制 - 共享密钥：Hub 与 Receiver 通过预共享 secret 校验，比较使用 hashequals 防时序攻击。 - Post type 白名单：Receiver 只接受 hebppdistributableposttypes() 列表内的 CPT，可用 filter hebppreceiverallowedposttypes 显式扩展。即使 secret 泄露，攻击者也无法写入 page/post 等非白名单 CPT。 - ACF key 校验：写入端拒绝以 开头或不符合 ^[A-Za-z][A-Za-z0-9\-]{0,63}$ 的字段名，防止通过 ACF 通道污染 WP 内部 protected meta。 - SSRF 防护：图片 sideload 时拒绝 localhost / 回环 / 169.254.169.254（云元数据） / 10/8 / 1