AI写代码更快了，但为什么交付没变快？

AI 编程工具让开发者写代码的速度大幅提升，但交付效率未必同步增长。Sonar 2026 年开发者调查揭示了一个关键矛盾：72% 的开发者每天使用 AI 工具，96% 怀疑 AI 生成代码的正确性，却只有 48% 的人每次提交前都会检查。写代码变快了，但验证成了新的瓶颈。

写得更快，验得更慢

AI 编程工具最直观的价值是缩短"从想法到第一版"的时间。一个 WordPress 插件骨架、一个区块、一段复杂的查询，几秒内就能出现在屏幕上。但第一版出现得越快，真正的工作量就越明显——检查。

Sonar 的调查数据把这个感受量化了：在尝试过 AI 编程工具的开发者中，72% 每天使用，96% 不完全信任 AI 生成代码的功能正确性，而只有 48% 表示每次提交 AI 辅助代码前都会检查。Sonar 将这一现象称为"验证瓶颈"：写代码变快了，但很多人预期的效率提升并未出现，因为总得有人确认代码能跑。

这种体验对独立开发者尤其真实。省下来的打字时间，几乎全部转移到了阅读上。

为什么审查成了主要工作

自己写代码时，每一行都理解，因为每个决策都是自己做的。当 AI 代理写代码时，代码看起来可能很干净，却在一些容易忽略的地方出错：缺少能力检查、未转义的输出、在小站点上正常但在大站点上崩溃的查询。在 WordPress 生态里，这些看似微小的遗漏影响很大，因为插件运行在别人的网站上。

96% 的人怀疑 AI 代码，48% 的人每次都检查——这个落差才是值得关注的部分。大多数人都知道应该验证，但真正做到每次都验证的人少得多。

能力检查（capability check）是 WordPress 权限体系中的核心概念，对应 current_user_can() 函数。WordPress 为每种操作定义了细粒度的能力（capability），如 edit_posts、manage_options、publish_posts 等，并允许插件和主题自定义能力。执行敏感操作前调用 current_user_can() 是防止越权访问的标准做法。AI 生成代码时常见的疏漏是直接执行数据库写入或管理操作，却跳过了这一步检查，导致低权限用户（如订阅者）也能触发本应仅限管理员的操作。这类缺陷在语法层面完全合法，单元测试也未必覆盖，唯有手动审查权限逻辑才能发现，因此在安全敏感点清单中单独列出能力检查尤为必要。

输出转义（output escaping）指在将数据输出到 HTML、属性、URL 或 JavaScript 上下文之前，对其进行编码处理，使浏览器将其视为纯文本而非可执行代码。WordPress 提供 esc_html()、esc_attr()、esc_url()、wp_kses_post() 等函数，分别对应不同输出场景。未转义的输出是跨站脚本（XSS）漏洞最常见的来源：攻击者可在评论、用户资料等可控字段中注入脚本，在其他访客浏览页面时执行。AI 生成的代码往往在数据获取环节看起来正确，却在最终 echo 时遗漏转义函数，而这类问题不会导致页面报错，功能测试也难以暴露，只有逐行检查输出点才能定位。

五个习惯改善验证流程

作者分享了一套简单但有效的例行做法，核心原则是保持小步、深度参与、自己掌舵。

1. 保持变更小。小的 diff 才能真正理解。巨型 AI 生成变更容易让人快速扫一眼就抱着希望合并。
2. 运行前先阅读。如果无法解释某个函数在做什么，就不提交。
3. 测试行为，而不只是语法。代码能跑不等于代码做了正确的事。
4. 手动检查安全敏感点：输入处理、输出转义、权限和数据库查询。
5. 决策权留给自己。AI 可以建议方案，但架构由人选择，结果由人负责。

这套流程的关键不在于复杂，而在于把"信任但验证"变成了可操作的动作。尤其是安全相关的手动检查，无法依赖 AI 自查——AI 生成代码的安全缺陷正是最容易被表面正确性掩盖的部分。

小 diff（小规模变更集）之所以是审查有效性的前提，与人类的注意力机制直接相关。研究表明，审查者在单个变更集超过约 200 至 400 行时，缺陷发现率会显著下降，且审查速度加快往往以牺牲深度为代价。AI 代理可以在几分钟内生成上千行代码，但审查者的认知带宽并不会同步扩展。将变更拆分为逻辑独立的小块，不仅让每处修改的意图更清晰，也使回滚和定位问题更容易。在版本控制实践中，这意味着按功能点分批提交、避免混入无关重构，并借助 git add -p 等工具精细划分提交范围，从而让审查真正发生而非流于形式。

判断力才是新的核心竞争力

AI 没有消除软件开发中困难的部分，只是把它挪了个位置。现在更重要的技能不是打字速度，而是判断力：知道该保留什么、该修改什么、该丢弃什么。

如果 AI 帮你更快地写代码，确保省下来的时间被用于认真审查。更快的代码只有在值得信任时才真正算数。正如原文提出的问题：你是每个 AI 生成的变更都审查，还是依赖测试来发现问题？