Eine Änderung der von dir erwähnten Konstanten `WP_SITEURL` und `WP_HOME` in der `wp-config.php` wird leider in vielen Blog-Beiträgen als bequeme Möglichkeit genannt, einen Domain-Wechsel umzusetzen. Ich glaube nicht, dass das im Sinne der Erfinder ist, weil durch die Konstanten die vorhandenen Einträge in der Datenbank nicht ersetzt, sondern überschrieben werden. Im Ergebnis sind die beiden Eingabefelder im Menü Einstellungen > Allgemein ausgegraut und spätestens bei der Übernahme der Website durch einen neuen Administrator taucht dann die Frage auf, warum das so ist. Dabei ist eine Ersetzung der URL in der Datenbank trotzdem nötig, weil WordPress durch die Definition dieser Konstanten nicht in Blogbeiträgen verwendete Links oder die für Mediendateien verwendeten, absoluten URLs anpasst.
Die Verwendung der Konstanten halte ich hingegen für sinnvoll, wenn eine Website parallel in einer Entwicklungsumgebung geführt wird. Überträgt der Entwickler alle Dateien mit Ausnahme der Konfigurationsdatei `wp-config.php`, kann auch die Datenbank unverändert übernommen werden, weil der Eintrag der Konstanten die Datenbankeinträge (diesmal erwünscht) überschreibt.

Deine „erste Amtshandlung“, den internen Theme- und Plugin-Editor durch die Konstante `define( ‚DISALLOW_FILE_EDIT‘, true );` zu deaktivieren, sehe ich mit gemischten Gefühlen. Gegenüber älteren Versionen des Editor, der die komplette Website bei all zu unbedarften Anpassungen komplett unbrauchbar machte, gibt es einerseits einige Verbesserungen, die AnwenderInnen vor sich selbst schützen. Andererseits wird in der Dokumentation (https://wordpress.org/support/article/editing-wp-config-php/#disable-the-plugin-and-theme-editor) auch darauf hingewiesen, dass Plugins fehlerhaft funktionieren könnten, wenn sie die Abfrage `current_user_can(‚edit_plugins‘)` als Nachweis der Legitimation des Benutzers abfragen, die mit der Konstante ausgeschlossen wird. Die Beantwortung der Frage „warum funktiert bloss dieses Plugin bei mir nicht?“ wird dann recht kniffelig.