WordPress 7.2 定档 12 月 9 日：sudo 模式和 Secrets API，才是这一版真正值得看的东西

9 月 18 日，WordPress 核心团队发布了 Roadmap to 7.2；随后公布的发布志愿表把日期写死了：2026 年 12 月 9 日（窗口 12 月 8 日至 10 日），7.2 是今年最后一个大版本。当前稳定版是 7.1.2，而 7.2 的 alpha 早在 8 月 10 日就已经在 trunk 里跑起来了。

时间表大致是这样：

里程碑	拟定时间（2026）
Beta 1	10 月 20—22 日
Beta 2	10 月 27—29 日
Beta 3	11 月 3—5 日
Beta 4	11 月 10—12 日
RC 1	11 月 17—19 日
RC 2 / RC 3	11 月 24—26 日 / 12 月 1—3 日
正式版	12 月 8—10 日

对站点维护者来说，Beta 1 是唯一真正重要的日子：从那天起功能冻结，你的站点上会坏的东西，基本就都能试出来了。

新主题只是门面

7.2 会带上新的默认主题 Ipsum——一张刻意留白的极简博客主题，带多套样式变体，官方说每种组合都过了 WCAG AA 对比度。细节我在 9 月 18 日那篇里写过，这里不重复。要提醒的是两条：升级不会换掉你正在用的主题，Ipsum 只在全新安装时生效；不想让它被打包进来的主机或开发者，可以把 CORE_UPGRADE_SKIP_NEW_BUNDLED 常量打开。

真正会改变日常的，是下面这几项。

安全三件事：这是 WordPress 在还一笔旧账

sudo 模式：某些敏感操作（改站点设置、装插件、改用户权限这类）会要求你重新认证一次，再放行。

Secrets API：给凭据一个一等公民的存放方式。

Application Passwords 加固：包括改进 HTML 处理在内的一轮收紧。

把前两条放在一起看，我认为这是 7.2 最值得关注的变化。WordPress 生态里有个被默认了十几年的坏习惯：插件要存 API Key、SMTP 密码、支付网关密钥、第三方服务的 token，最顺手的做法就是往 wp_options 表里塞一行明文，或者写进配置文件。结果是——一次 SQL 注入、一份被下载走的数据库备份、一个能读 options 的前台漏洞，就足以让这些密钥全部裸奔。Secrets API 的意义是给「该藏起来的东西」和「普通的站点配置」划一条线，插件终于有一个不用自己发明轮子的安全位置可放；sudo 模式则是在承认一个现实：后台会话被拿到，等于站点被拿到，所以关键动作得当场验一次人。

这两件事不像新主题那样好看，但它们影响的是所有装了插件的站。

开发者要提早准备的两件事

React 19 升级。这个对只写文章的博主无感，但如果你在用带自定义区块、或者自带后台界面的插件，值得在 Beta 阶段专门点一遍——用 React 写后台面板的老插件，是这一轮最容易出兼容问题的一类。

Dashicons 换成 SVG。后台工具栏和菜单会用 wp_get_icon()（7.1 引入）渲染 SVG 图标，替代图标字体。理由是屏幕阅读器对图标字体的处理不一致，Windows 高对比度模式下也不正常；带 aria-label 和 currentColor 的 SVG 表现更可预期。

其余还有一批偏编辑器侧的变化：Notes 加建议模式和 emoji 反应、新增 Description List 块和等很久的目录（Table of Contents）块、Global Styles 支持表单元素（button、textInput、select、label）、Site Editor 首次允许插件注册自己的界面和设置。至于 AI，7.1 周期给社区的信号很明确——AI 功能要先证明实际采用和价值才考虑进核心，所以 Abilities、MCP 适配器、embeddings 这些都在 AI 插件里继续跑，不进 7.2 核心。

我的判断

给两类人各一条建议。

如果你只是写博客：这件事现在不用做，但 10 月下旬开始可以在测试站装个 Beta，重点测主题和插件。12 月中正式版出来后别急着上生产——年末是所有人的变更冻结期，国外有维护机构已经明确建议把生产升级压到 1 月下旬，避开节日期间出故障。

如果你是给客户做站的开发者：把 7.2 当成一次「安全基线更新」来准备，而不是一次功能升级。检查你的插件里有没有把密钥存进 options，检查有没有自定义后台界面依赖老版 React，然后在 11 月 RC 阶段之前把兼容问题清掉。WordPress 用两个版本的时间，开始认真处理「凭据」和「敏感操作」这两件事——这个转向，比多一个默认主题重要得多。