深入理解 WordPress 的 `is_admin()` 和 `current_user_can()` 的结合使用，以实现后台权限控制。

各位看官，走过路过不要错过，今天老衲就来和大家聊聊WordPress后台权限控制的那些事儿！

WordPress后台权限控制：is_admin()和current_user_can()的完美搭档

话说在江湖上混，谁还没个三六九等呢？在WordPress的世界里，用户权限也是一样。管理员可以上天入地，编辑只能修修补补，订阅者就只能看看热闹。而要实现这种等级森严的权限控制，is_admin()和current_user_can()这对CP就派上用场了。

一、is_admin()：进门的钥匙

is_admin()函数就像WordPress后台的门卫，检查当前页面是不是在后台管理界面。它的作用很简单，就是返回一个布尔值：

• true：当前页面是后台管理界面。
• false：当前页面不是后台管理界面（比如是前台页面）。

使用场景：

1. 只在后台加载特定脚本或样式： 某些JS或CSS文件只需要在后台加载，可以避免前台页面臃肿。

   function my_admin_enqueue_scripts() {
       if ( is_admin() ) {
           wp_enqueue_script( 'my-admin-script', get_template_directory_uri() . '/js/admin.js', array( 'jquery' ), '1.0', true );
           wp_enqueue_style( 'my-admin-style', get_template_directory_uri() . '/css/admin.css' );
       }
   }
   add_action( 'admin_enqueue_scripts', 'my_admin_enqueue_scripts' );

2. 只在后台显示特定提示信息： 给管理员一些专属提示，提高工作效率。

   function my_admin_notice() {
       if ( is_admin() ) {
           echo '<div class="notice notice-warning is-dismissible">
               <p>注意：您正在使用开发者模式！</p>
           </div>';
       }
   }
   add_action( 'admin_notices', 'my_admin_notice' );

注意事项：

• is_admin()只能判断是否在后台，不能判断用户的权限。也就是说，即使是订阅者，只要访问后台页面，is_admin()也会返回true。
• 不要仅仅依靠is_admin()来做权限控制，它只是第一道门槛。真正的权限控制需要current_user_can()。

二、current_user_can()：验明正身

current_user_can()函数就像是拿着身份证验明正身的警察叔叔，检查当前用户是否拥有指定的权限（capability）。它接受一个字符串参数，表示要检查的权限，返回一个布尔值：

• true：当前用户拥有该权限。
• false：当前用户不拥有该权限。

常见权限（Capabilities）：

权限（Capability）	描述	默认角色拥有该权限
manage_options	管理选项（最高权限，可以修改所有设置）	管理员
edit_posts	编辑文章	编辑、管理员
publish_posts	发布文章	编辑、管理员
delete_posts	删除文章	编辑、管理员
edit_pages	编辑页面	编辑、管理员
publish_pages	发布页面	编辑、管理员
delete_pages	删除页面	编辑、管理员
upload_files	上传文件	作者、编辑、管理员
moderate_comments	审核评论	编辑、管理员
read	阅读	所有登录用户

使用场景：

1. 限制特定用户访问后台菜单： 不想让某些角色看到某些菜单项，比如隐藏“主题”菜单给编辑。

   function my_remove_menus() {
       if ( ! current_user_can( 'manage_options' ) ) { // 只有管理员才能看到
           remove_menu_page( 'themes.php' ); // 移除“外观”菜单
       }
   }
   add_action( 'admin_menu', 'my_remove_menus' );

2. 限制特定用户编辑特定文章： 比如只允许作者编辑自己的文章。

   function my_restrict_post_editing( $post_id ) {
       if ( ! current_user_can( 'edit_post', $post_id ) ) { // 用户不能编辑该文章
           wp_die( '您没有权限编辑这篇文章！' );
       }
   }
   add_action( 'load-post.php', 'my_restrict_post_editing' );
   add_action( 'load-post-new.php', 'my_restrict_post_editing' );

3. 在后台显示不同内容： 根据用户权限显示不同的设置选项或提示信息。

   function my_admin_settings() {
       if ( current_user_can( 'manage_options' ) ) {
           // 管理员的设置选项
           echo '<p>管理员设置：...</p>';
       } else if ( current_user_can( 'edit_posts' ) ) {
           // 编辑的设置选项
           echo '<p>编辑设置：...</p>';
       } else {
           // 其他用户的提示信息
           echo '<p>您没有权限修改设置！</p>';
       }
   }

注意事项：

• current_user_can()需要一个权限字符串作为参数，务必使用正确的权限名称。
• current_user_can()可以接受第二个参数，用于检查用户是否拥有特定对象的权限，比如edit_post权限就需要传入文章ID。
• 不要滥用current_user_can()，过多的权限判断会影响性能。

三、is_admin() + current_user_can()：黄金搭档，天下我有

单独使用is_admin()或current_user_can()都有局限性，只有将它们结合起来，才能实现真正的后台权限控制。

使用场景：

1. 只允许管理员在后台修改主题设置：

   function my_admin_theme_settings() {
       if ( is_admin() && current_user_can( 'manage_options' ) ) {
           // 显示主题设置页面
           add_theme_page( '我的主题设置', '主题设置', 'manage_options', 'my-theme-settings', 'my_theme_settings_page' );
       }
   }
   add_action( 'admin_menu', 'my_admin_theme_settings' );
   
   function my_theme_settings_page() {
       // 主题设置页面的内容
       echo '<h1>我的主题设置</h1>';
       // ...
   }

2. 只允许编辑在后台上传图片：

   function my_admin_upload_files() {
       if ( is_admin() && current_user_can( 'upload_files' ) ) {
           // 显示上传文件按钮或链接
           echo '<a href="' . admin_url( 'media-new.php' ) . '">上传图片</a>';
       }
   }
   add_action( 'admin_notices', 'my_admin_upload_files' );

总结：

• is_admin()用于判断是否在后台。
• current_user_can()用于判断用户是否拥有特定权限。
• is_admin() + current_user_can()用于实现精细的后台权限控制。

四、自定义权限（Capabilities）：打造专属的权限体系

WordPress自带的权限可能无法满足所有需求，这时候就需要自定义权限。

如何自定义权限：

1. 添加自定义权限： 可以使用add_role()或get_role()函数来添加自定义权限。

   // 创建一个新的角色“客服”，并赋予一些权限
   $result = add_role(
       'customer_service',
       __( '客服' ),
       array(
           'read'         => true,  // 允许阅读
           'edit_posts'   => false, // 禁止编辑文章
           'upload_files' => true,  // 允许上传文件
       )
   );
   
   if ( null !== $result ) {
       echo '客服角色创建成功！';
   } else {
       echo '客服角色创建失败！';
   }
   
   // 或者，修改现有角色的权限
   $editor = get_role( 'editor' );
   $editor->add_cap( 'manage_custom_settings' ); // 给编辑添加“管理自定义设置”的权限

2. 使用自定义权限： 在代码中使用current_user_can()来判断用户是否拥有自定义权限。

   if ( current_user_can( 'manage_custom_settings' ) ) {
       // 显示自定义设置选项
       echo '<p>自定义设置：...</p>';
   } else {
       // 显示提示信息
       echo '<p>您没有权限管理自定义设置！</p>';
   }

自定义权限的注意事项：

• 权限名称要具有唯一性，避免与其他插件或主题冲突。
• 权限名称要具有描述性，方便理解。
• 在卸载插件或主题时，要移除自定义权限。

五、实际案例分析：一个简单的后台权限控制插件

下面我们来创建一个简单的WordPress插件，实现以下功能：

• 只允许管理员在后台修改文章分类。
• 其他用户只能查看文章分类，不能修改。

插件代码：

<?php
/**
 * Plugin Name: 后台分类权限控制
 * Description: 限制非管理员用户修改文章分类
 * Version: 1.0
 * Author: Your Name
 */

// 移除文章分类菜单
function my_remove_category_menu() {
    if ( ! current_user_can( 'manage_categories' ) ) { // 如果用户没有管理分类的权限
        remove_menu_page( 'edit-tags.php?taxonomy=category' ); // 移除“分类”菜单
    }
}
add_action( 'admin_menu', 'my_remove_category_menu' );

// 阻止非管理员用户访问分类编辑页面
function my_restrict_category_access() {
    if ( is_admin() && ! current_user_can( 'manage_categories' ) && ( isset( $_GET['taxonomy'] ) && $_GET['taxonomy'] == 'category' ) ) {
        wp_die( '您没有权限修改文章分类！' );
    }
}
add_action( 'admin_init', 'my_restrict_category_access' );

// 可选：在前台显示文章分类，但禁用编辑功能 (示例)
function my_display_category_readonly() {
    if( !is_admin() ){
        // 前台逻辑，比如显示分类列表，但禁用编辑链接
        // 这部分代码需要根据你的主题和具体需求进行调整
        // 例如，你可以使用wp_list_categories()函数显示分类，然后使用CSS隐藏编辑链接。
        // 或者创建一个自定义模板，只显示分类信息，不显示编辑表单。
    }
}
add_action('template_redirect', 'my_display_category_readonly');

// 添加一个 manage_categories capability检测，避免直接修改URL绕过限制
function my_check_category_capability($taxonomy){
    if( 'category' === $taxonomy->name && !current_user_can( 'manage_categories' )){
        $taxonomy->cap->edit_terms   = 'read';  // 阻止编辑分类
        $taxonomy->cap->manage_terms = 'read';  // 阻止管理分类
        $taxonomy->cap->delete_terms = 'read';  // 阻止删除分类
        $taxonomy->cap->assign_terms = 'read';  // 阻止分配分类
    }
}
add_action( 'registered_taxonomy', 'my_check_category_capability', 10, 1 );

代码解释：

• my_remove_category_menu()函数：移除后台“分类”菜单，只有拥有manage_categories权限的用户才能看到。
• my_restrict_category_access()函数：阻止非管理员用户访问分类编辑页面，如果用户尝试访问edit-tags.php?taxonomy=category，会显示一个错误信息。
• my_check_category_capability()函数: 阻止没有 manage_categories 权限的用户修改分类，直接修改 taxonomy 的 capabilities。
• my_display_category_readonly()函数：(可选) 如果需要在前台显示文章分类，但禁用编辑功能，可以在这里添加代码。

使用方法：

1. 将以上代码保存为category-permissions.php文件。
2. 将该文件上传到wp-content/plugins/目录下。
3. 在WordPress后台激活该插件。

测试：

1. 以管理员身份登录WordPress后台，可以看到“分类”菜单，并且可以修改文章分类。
2. 以编辑或其他非管理员身份登录WordPress后台，看不到“分类”菜单，如果尝试直接访问分类编辑页面，会显示错误信息。

六、安全提示：权限控制，安全第一

权限控制是网站安全的重要组成部分，务必注意以下几点：

• 最小权限原则： 只赋予用户必要的权限，避免权限过大导致安全风险。
• 定期审查权限： 定期检查用户权限，确保权限设置符合实际需求。
• 使用安全插件： 可以使用安全插件来增强权限控制功能，比如限制登录尝试次数、强制使用强密码等。
• 保持WordPress版本最新： 及时更新WordPress版本，修复安全漏洞。
• 备份数据： 定期备份数据，以防万一。

七、总结与展望：权限控制，永无止境

WordPress的权限控制功能非常强大，可以灵活地实现各种复杂的权限需求。is_admin()和current_user_can()是权限控制的核心函数，掌握它们的使用方法，可以有效地保护网站安全，提高用户体验。

当然，权限控制是一个永无止境的话题，随着WordPress的不断发展，权限控制功能也会不断完善。希望今天的分享能帮助大家更好地理解和使用WordPress的权限控制功能，打造更安全、更强大的网站！

今天的讲座就到这里，感谢大家的观看！ 咱们下回再见！