Làm sao xây một plugin hay app có AI bên trong, ví dụ tích hợp Claude API vào một plugin WordPress?

Question

Accepted Answer

Bạn đưa AI vào một app bằng cách gọi API của model ở **phía server** và coi output của nó là input không đáng tin. Với Claude, điều đó nghĩa là gọi **Messages API** từ backend của bạn (PHP, cho một plugin WordPress) với API key giữ trên server — không bao giờ trong JavaScript phía client, nơi bất kỳ ai cũng có thể đánh cắp.

## Lệnh gọi phía server

Quy tắc then chốt: **API key nằm trên server**. Trình duyệt nói chuyện với endpoint của *bạn*; endpoint của *bạn* nói chuyện với Claude.

```php
<?php
// Trong một plugin WordPress: chạy cái này trong PHP (phía server), không bao giờ lộ key cho JS.
$resp = wp_remote_post( 'https://api.anthropic.com/v1/messages', [
  'headers' => [
    'x-api-key'         => getenv( 'ANTHROPIC_API_KEY' ), // từ env/secret store, không phải code
    'anthropic-version' => '2023-06-01',
    'content-type'      => 'application/json',
  ],
  'timeout' => 30,
  'body' => wp_json_encode( [
    'model'      => 'claude-sonnet-4-5',   // chọn một model id hiện hành
    'max_tokens' => 1024,                   // giới hạn output → kiểm soát chi phí
    'messages'   => [
      [ 'role' => 'user', 'content' => $user_prompt ],
    ],
  ] ),
] );

if ( is_wp_error( $resp ) ) { /* xử lý lỗi mạng/timeout, có thể retry */ }
$data = json_decode( wp_remote_retrieve_body( $resp ), true );
$text = $data['content'][0]['text'] ?? '';   // validate trước khi tin/hiển thị nó
```

## Ngoài những điều cơ bản

```text
- TOOL USE / FUNCTION CALLING → để model gọi các hàm của bạn (search, tra cứu DB)
- STREAMING                   → stream token cho UI phản hồi nhanh với câu trả lời dài
- PROMPT CACHING              → cache một system prompt tĩnh lớn → rẻ hơn, nhanh hơn
- STRUCTURED OUTPUT           → yêu cầu JSON, rồi parse + validate theo schema
- ERRORS & RATE LIMITS        → xử lý 429/5xx với backoff + retry; hiện một phương án dự phòng
- COST                        → giới hạn max_tokens, log lượng token dùng, đặt giới hạn theo user
```

Luôn **validate output của model trước khi dùng**: không bao giờ chạy nó như code, render mà không escape, hay ghi vào DB của bạn mà không kiểm tra. Model là một trình sinh văn bản mạnh nhưng dễ sai, không phải một nguồn đáng tin.

## Tại sao điều này quan trọng

Đưa AI vào một sản phẩm thực phần lớn là phần kỹ thuật nhàm chán-nhưng-thiết-yếu quanh lệnh gọi, không phải bản thân lệnh gọi. Giữ key ở phía server ngăn việc bị đánh cắp và hóa đơn mất kiểm soát; xử lý lỗi, rate limit và chi phí giữ tính năng đáng tin cậy và phải chăng; và validate output trước khi hành động ngăn sai lầm của model hoặc một hướng dẫn bị tiêm trở thành lỗ hổng bảo mật. Làm đúng những điều đó thì Messages API trở thành một khối xây dựng đáng tin; bỏ qua chúng thì một bản demo ấn tượng biến thành một key bị rò rỉ, một hóa đơn bất ngờ, hay một lỗ hổng bị khai thác.