深入理解 WordPress 的 `Capabilities` 系统，以及它如何与 `current_user_can()` 配合实现精细化的权限控制。

各位观众老爷，晚上好！我是今天的主讲人，咱们今天就来聊聊 WordPress 的 Capabilities 系统，以及它如何与 current_user_can() 强强联手，实现那让人欲罢不能的精细化权限控制。

引子：话说江湖地位这回事

话说在 WordPress 江湖里，每个人都有自己的角色和定位。 有的负责发帖写文章，像个辛勤的码字工；有的负责管理用户和插件，像个运筹帷幄的 CEO；还有的负责修改主题和服务器配置，简直就是个身怀绝技的运维大神。

那 WordPress 怎么知道谁能干什么，谁不能干什么呢？ 这就得靠 Capabilities 系统出马了！

第一章：Capabilities 是什么？能吃吗？

简单来说，Capabilities 就是 WordPress 用来描述用户权限的“能力标签”。 每一个标签都代表着一项特定的操作，比如 edit_posts (编辑文章)，delete_posts (删除文章)，manage_options (管理选项) 等等。

你可以把 Capabilities 想象成游戏里的技能点。 角色等级越高，技能点越多，能干的事情也就越多。

• Capability 的本质：字符串

  记住，Capabilities 本质上就是字符串，比如 'edit_posts'、'delete_users'、'install_plugins'。 这些字符串就像钥匙一样，只有拥有了正确的钥匙，才能打开对应的功能大门。

• 默认 Capabilities：角色扮演的基石

  WordPress 预定义了一系列 Capabilities，并把它们分配给不同的用户角色 (Roles)。 比如管理员 (Administrator) 拥有几乎所有的 Capabilities，而订阅者 (Subscriber) 则只有阅读文章的权限。

  角色 (Role)	默认 Capabilities (部分)
  Administrator	activate_plugins, delete_others_pages, delete_plugins, delete_posts, edit_others_pages, edit_plugins, edit_posts, export, import, install_plugins, manage_categories, manage_options, moderate_comments, publish_pages, publish_posts, read, read_private_pages, read_private_posts, remove_users, switch_themes, upload_files, edit_theme_options, delete_themes, edit_themes, update_plugins, update_themes, create_users 等等。
  Editor	delete_others_posts, delete_posts, edit_others_posts, edit_posts, manage_categories, moderate_comments, publish_posts, read, upload_files
  Author	delete_posts, edit_posts, publish_posts, read, upload_files
  Contributor	edit_posts, read
  Subscriber	read

• 自定义 Capabilities：江湖百态，各显神通

  WordPress 允许我们自定义 Capabilities，以便满足各种奇葩的需求。 比如，你可以创建一个名为 'manage_buddha_statues' 的 Capability，用来控制谁能管理你网站上的佛像信息。

第二章：current_user_can()：谁是真英雄？

current_user_can() 函数是 WordPress 里判断用户权限的“照妖镜”。 它可以根据当前用户的角色和 Capabilities，来判断用户是否拥有执行某个操作的权限。

• 基本用法：简单粗暴，一目了然

  current_user_can( $capability, ...$args )

  • $capability (string)：要检查的 Capability 名称。
  • ...$args (mixed)：可选参数，用于传递给 map_meta_cap 过滤器。 后面会详细解释。

  举个例子：

  if ( current_user_can( 'edit_posts' ) ) {
      echo '<p>你拥有编辑文章的权限！</p>';
  } else {
      echo '<p>你没有编辑文章的权限！</p>';
  }

  这段代码会判断当前用户是否拥有 edit_posts 的 Capability，如果有，就显示“你拥有编辑文章的权限！”，否则就显示“你没有编辑文章的权限！”。

• 进阶用法：与文章 ID 结合，精准打击

  current_user_can() 还可以与文章 ID 结合使用，来判断用户是否拥有编辑或删除特定文章的权限。

  $post_id = 123; // 假设要检查的文章 ID 是 123
  
  if ( current_user_can( 'edit_post', $post_id ) ) {
      echo '<p>你拥有编辑 ID 为 ' . $post_id . ' 的文章的权限！</p>';
  } else {
      echo '<p>你没有编辑 ID 为 ' . $post_id . ' 的文章的权限！</p>';
  }
  
  if ( current_user_can( 'delete_post', $post_id ) ) {
      echo '<p>你拥有删除 ID 为 ' . $post_id . ' 的文章的权限！</p>';
  } else {
      echo '<p>你没有删除 ID 为 ' . $post_id . ' 的文章的权限！</p>';
  }

  注意，这里的 edit_post 和 delete_post 实际上是 meta Capabilities，而不是直接的 Capabilities。 它们会经过 map_meta_cap 过滤器的处理，转换成实际的 Capabilities，比如 edit_posts、edit_others_posts 等。

• map_meta_cap 过滤器：幕后英雄，权限转换

  map_meta_cap 过滤器是一个非常重要的机制，它负责将 meta Capabilities 转换成实际的 Capabilities。 这个过滤器在 current_user_can() 函数内部被调用，它的作用是根据当前用户、文章 ID 等信息，来判断用户是否拥有执行某个操作的权限。

  举个例子，当使用 current_user_can( 'edit_post', $post_id ) 时，map_meta_cap 过滤器会根据以下规则进行转换：

  • 如果用户是文章的作者，并且拥有 edit_posts 的 Capability，那么就可以编辑这篇文章。
  • 如果用户不是文章的作者，但拥有 edit_others_posts 的 Capability，那么也可以编辑这篇文章。
  • 如果用户拥有 edit_pages 和 edit_others_pages 的 Capability，那么也可以编辑页面。

  我们可以通过 add_filter() 函数来添加自定义的 map_meta_cap 过滤器，从而实现更复杂的权限控制逻辑。

  add_filter( 'map_meta_cap', 'my_custom_map_meta_cap', 10, 4 );
  
  function my_custom_map_meta_cap( $caps, $cap, $user_id, $args ) {
      // $caps: 最终返回的 Capabilities 数组
      // $cap: 原始的 meta Capability，比如 'edit_post'
      // $user_id: 用户 ID
      // $args: 传递给 current_user_can() 的其他参数，比如文章 ID
  
      if ( 'edit_buddha_statue' === $cap ) {
          $statue_id = $args[0]; // 假设第一个参数是佛像 ID
  
          // 检查用户是否是佛像的拥有者，或者拥有 'manage_buddha_statues' 的 Capability
          if ( is_statue_owner( $user_id, $statue_id ) || user_has_cap( $user_id, 'manage_buddha_statues' ) ) {
              return array( 'edit_buddha_statues' ); // 返回实际的 Capability
          } else {
              return array( 'do_not_allow' ); // 禁止访问
          }
      }
  
      return $caps; // 返回原始的 Capabilities，不进行修改
  }

  这段代码定义了一个名为 my_custom_map_meta_cap 的过滤器函数，它会在 current_user_can() 函数内部被调用。 当 $cap 的值为 'edit_buddha_statue' 时，它会检查用户是否是佛像的拥有者，或者拥有 manage_buddha_statues 的 Capability。 如果是，就返回 edit_buddha_statues 的 Capability，否则就返回 do_not_allow，表示禁止访问。

  注意，user_has_cap() 是 WordPress 提供的一个函数，用于直接检查用户是否拥有某个 Capability。

第三章：角色 (Roles) 的力量：批量授权，高效管理

角色 (Roles) 是 WordPress 中预定义的权限集合，它将一系列 Capabilities 组合在一起，方便我们批量管理用户权限。

• 默认角色：各司其职，井然有序

  WordPress 默认提供了以下几种角色：

  • Administrator (管理员)： 拥有所有权限，可以管理整个网站。
  • Editor (编辑)： 可以管理所有文章，包括他人的文章。
  • Author (作者)： 可以管理自己的文章。
  • Contributor (投稿人)： 可以撰写文章，但需要经过审核才能发布。
  • Subscriber (订阅者)： 只能阅读文章。

• 自定义角色：量身定制，满足需求

  我们可以使用 add_role() 函数来创建自定义角色。

  add_role(
      'buddha_master', // 角色名称 (slug)
      __( 'Buddha Master' ), // 角色显示名称
      array(
          'read'         => true,  // 允许阅读
          'edit_posts'   => true,  // 允许编辑自己的文章
          'upload_files' => true,  // 允许上传文件
          'manage_buddha_statues' => true // 允许管理佛像
      )
  );

  这段代码创建了一个名为 buddha_master 的角色，它拥有 read、edit_posts、upload_files 和 manage_buddha_statues 等 Capabilities。

• 修改角色权限：灵活调整，与时俱进

  我们可以使用 get_role() 函数获取一个角色对象，然后使用 $role->add_cap() 和 $role->remove_cap() 函数来添加或删除 Capabilities。

  $role = get_role( 'editor' ); // 获取 Editor 角色
  
  if ( ! $role->has_cap( 'manage_buddha_statues' ) ) {
      $role->add_cap( 'manage_buddha_statues' ); // 添加 manage_buddha_statues Capability
  }
  
  if ( $role->has_cap( 'delete_posts' ) ) {
      $role->remove_cap( 'delete_posts' ); // 移除 delete_posts Capability
  }

  这段代码首先获取了 Editor 角色，然后判断它是否拥有 manage_buddha_statues 的 Capability。 如果没有，就添加该 Capability。 接着，它判断 Editor 角色是否拥有 delete_posts 的 Capability，如果有，就移除该 Capability。

第四章：最佳实践：安全第一，优雅至上

• 最小权限原则：按需授权，避免滥用

  在分配 Capabilities 时，要遵循最小权限原则，只授予用户完成任务所需的最小权限。 避免授予过多的权限，以防止潜在的安全风险。

• 使用已有的 Capabilities：尽量复用，减少冗余

  WordPress 已经提供了大量的 Capabilities，在自定义 Capabilities 之前，应该先检查是否可以使用已有的 Capabilities 来满足需求。 尽量复用已有的 Capabilities，可以减少代码的复杂度和维护成本。

• 缓存 current_user_can() 的结果：提升性能，减少开销

  current_user_can() 函数会执行一些权限检查逻辑，如果频繁调用该函数，可能会影响网站的性能。 因此，建议将 current_user_can() 的结果缓存起来，避免重复计算。

  global $my_capability_cache;
  
  if ( ! isset( $my_capability_cache['edit_posts'] ) ) {
      $my_capability_cache['edit_posts'] = current_user_can( 'edit_posts' );
  }
  
  if ( $my_capability_cache['edit_posts'] ) {
      echo '<p>你拥有编辑文章的权限！</p>';
  } else {
      echo '<p>你没有编辑文章的权限！</p>';
  }

• 使用插件管理权限：方便快捷，图形界面

  WordPress 社区提供了许多权限管理插件，比如 Members、User Role Editor 等。 这些插件提供了图形界面，可以方便地管理用户角色和 Capabilities。

第五章：常见问题：答疑解惑，扫清障碍

• 为什么我分配了某个 Capability，但是 current_user_can() 还是返回 false？

  • 检查角色是否已更新： 在添加或删除 Capabilities 后，需要重新登录才能使更改生效。
  • 检查 Capability 名称是否正确： Capabilities 名称区分大小写，请确保名称拼写正确。
  • 检查是否使用了 map_meta_cap 过滤器： 如果使用了 map_meta_cap 过滤器，请确保过滤器逻辑正确，并且返回了正确的 Capabilities。
  • 检查是否有其他插件或主题干扰： 有些插件或主题可能会修改用户权限，导致 current_user_can() 返回错误的结果。

• 如何判断用户是否拥有多个 Capabilities？

  可以使用 array_filter() 函数结合 current_user_can() 来判断用户是否拥有多个 Capabilities。

  $capabilities = array( 'edit_posts', 'upload_files', 'manage_categories' );
  
  $has_all_capabilities = array_filter( $capabilities, 'current_user_can' ) === $capabilities;
  
  if ( $has_all_capabilities ) {
      echo '<p>你拥有所有这些 Capabilities！</p>';
  } else {
      echo '<p>你没有拥有所有这些 Capabilities！</p>';
  }

• 如何禁止用户访问某个管理页面？

  可以使用 admin_menu 动作钩子来移除菜单项，从而禁止用户访问某个管理页面。

  add_action( 'admin_menu', 'remove_admin_menu_items' );
  
  function remove_admin_menu_items() {
      if ( ! current_user_can( 'manage_options' ) ) {
          remove_menu_page( 'options-general.php' ); // 移除“设置”菜单
      }
  }

总结：权限控制，任重道远

WordPress 的 Capabilities 系统是一个强大而灵活的权限控制机制。 掌握 Capabilities 系统，并合理使用 current_user_can() 函数，可以实现精细化的权限控制，确保网站的安全和稳定。

记住，权限控制不是一蹴而就的事情，需要根据实际需求不断调整和完善。 只有不断学习和实践，才能成为真正的权限控制大师！

今天的讲座就到这里，感谢大家的观看！ 如果有什么问题，欢迎在评论区留言，我会尽力解答。