Anda membangun AI ke dalam aplikasi dengan memanggil API model dari sisi server dan memperlakukan keluarannya sebagai input yang tidak terpercaya. Untuk Claude, itu berarti memanggil Messages API dari backend Anda (PHP, untuk plugin WordPress) dengan API key disimpan di server — tidak pernah di JavaScript sisi klien, di mana siapa pun bisa mencurinya.
Aturan kuncinya: API key berada di server. Browser berbicara dengan endpoint Anda; endpoint Anda berbicara dengan Claude.
<?php
// In a WordPress plugin: run this in PHP (server-side), never expose the key to JS.
$resp = wp_remote_post( 'https://api.anthropic.com/v1/messages', [
'headers' => [
'x-api-key' => getenv( 'ANTHROPIC_API_KEY' ), // from env/secret store, not code
'anthropic-version' => '2023-06-01',
'content-type' => 'application/json',
],
'timeout' => 30,
'body' => wp_json_encode( [
'model' => 'claude-sonnet-4-5', // pick a current model id
'max_tokens' => 1024, // cap output → controls cost
'messages' => [
[ 'role' => 'user', 'content' => $user_prompt ],
],
] ),
] );
if ( is_wp_error( $resp ) ) { /* handle network/timeout errors, maybe retry */ }
$data = json_decode( wp_remote_retrieve_body( $resp ), true );
$text = $data['content'][0]['text'] ?? ''; // validate before trusting/displaying it
- TOOL USE / FUNCTION CALLING → let the model call your functions (search, DB lookup)
- STREAMING → stream tokens for a responsive UI on long answers
- PROMPT CACHING → cache a large static system prompt → cheaper, faster
- STRUCTURED OUTPUT → ask for JSON, then parse + schema-validate it
- ERRORS & RATE LIMITS → handle 429/5xx with backoff + retry; show a fallback
- COST → cap max_tokens, log token usage, set per-user limits
Selalu validasi keluaran model sebelum menggunakannya: jangan pernah menjalankannya sebagai kode, render tanpa escaping, atau tulis ke DB Anda tanpa diperiksa. Model adalah pembuat teks yang kuat tetapi rentan, bukan sumber yang terpercaya.
Mengirimalkan AI ke dalam produk nyata sebagian besar adalah engineering yang membosankan namun penting di sekitar panggilan, bukan panggilan itu sendiri. Menjaga key di sisi server mencegah pencurian dan tagihan yang melonjak; menangani error, rate limits, dan biaya menjaga fitur tetap andal dan terjangkau; dan memvalidasi keluaran sebelum bertindak mencegah kesalahan model atau injeksi instruksi menjadi lubang keamanan. Dapatkan itu dengan benar dan Messages API menjadi blok bangunan yang dapat diandalkan; lewatkan itu dan demo yang mengesankan berubah menjadi key yang bocor, faktur mengejutkan, atau exploit.