AI の返答を画面に出すとき、エスケープだけでは守れなかった話｜DOM を直接組んで安全に表示する
AI チャットボットで、LLM の出力をエスケープしたのに画面表示ですり抜けた経験を残します。AI の出力はユーザー入力と同じ外部入力です。innerHTML の二度パースという落とし穴と、DOM を直接組んで安全に描画する WordPress での直し方をまとめます。
プラグイン開発
ユーザーの API キーをどこに預かるか問題｜WordPress プラグインで AES-256-GCM を使った話
自作 WordPress プラグインで、ユーザーの API キーを平文で持たず AES-256-GCM で暗号化保存した実装記録です。鍵は wp-config の salts から派生させて DB の外に置き、AAD でサイトに束縛。IV と認証タグのレイアウト、復号の段階フォールバック、salts 変更時の再入力動線まで、実コードで残します。
AI チャットボットを4社対応にした話｜OpenAI・Claude・Gemini・OpenRouter の差を1枚の層で吸収した設計
自作 WordPress プラグインの AI チャットボットを OpenAI・Claude・Gemini・OpenRouter の4社対応にした設計記録です。認証・system の置き場所・レスポンス形・エラーを1枚の層に畳み、GPT-5 が temperature を弾く 400 を予防スキップと自動リトライで吸収した実装まで残します。
WP AI Clientへ移行したら、エラーも出さずに会話の履歴が消えた
WordPress 7.0のWP AI Clientへプラグインを移行した実装記録です。with_history()に生配列を渡すと例外も出さず会話履歴だけが消える挙動、キーを持たないプロバイダが踏み抜いた前提、temperatureの400対応を、RC3と安定版で確認したコード付きで書いています。
WordPress 7.0 の WP AI Client を実装目線で読み解いた話 – Connectors UI、wp_ai_client_prompt() API、Rapls AI Chatbot での対応方針
WordPress 7.0 で導入される WP AI Client API を、自作 AI プラグイン開発者の視点で実装目線で読み解きました。Connectors UI の挙動、wp_ai_client_prompt() の使い方、Rapls AI Chatbot での対応方針まで実機検証ベースでまとめます。