很多”装个插件”的诉求，本质是一两个钩子的事。以下片段经过实战检验，按需取用。
一、安全类清理
- 移除 head 里的 generator 版本号，别向访客暴露 WP 版本。
login_errors过滤器返回统一提示，避免登录报错泄露用户名是否存在。- 禁用 XML-RPC：多数站点已用不到，留着一个攻击面不划算。
二、体验类调整
- 用
filemtime()给 CSS/JS 的版本号参数赋值，文件一改缓存自动失效，不用手动改版本数字。 - 后台禁用 Google Fonts 相关请求，国内环境后台速度立刻正常。
三、片段管理建议
把片段按功能分组、加注释，或干脆放进 mu-plugins 目录——主题更新不会覆盖它，且零插件依赖。
四、动手前
functions.php 语法错误会直接白屏，改之前先备份，出错时 FTP 恢复即可。养成”小步修改 + 及时核验”的习惯，比事后排错省心得多。
