分析 WordPress 的 `Role` 和 `Capability` 系统，并解释它们在 `wp_roles` 全局变量中的存储方式。

各位观众老爷们，早上好！今天咱们来聊聊 WordPress 权限管理这块儿的“江湖规矩”——Role 和 Capability 系统。这玩意儿听起来有点玄乎，但其实理解了它，你就能像掌控武林秘籍一样，轻松玩转 WordPress 的用户权限。

开场白：WordPress 权限体系的“门派”

想象一下，WordPress 是一个庞大的武林，而用户则是来自五湖四海的侠客。为了维持武林的秩序，就需要一套完善的权限体系。这套体系的核心就是 Role 和 Capability。

• Role (角色)： 相当于武林中的门派，比如少林、武当、峨眉等等。每个门派都有自己擅长的武功（权限）。
• Capability (权限)： 相当于具体的武功招式，比如少林的易筋经、武当的太极剑法。

简单来说，Role 是权限的集合，而 Capability 则是构成这些集合的最小单元。

wp_roles：权限信息的“藏经阁”

所有的 Role 和 Capability 信息都保存在一个全局变量中，这个变量就是 wp_roles。你可以把它想象成少林寺的藏经阁，里面存放着各种武功秘籍（Role 和 Capability）。

wp_roles 是一个 WP_Roles 类的实例。WP_Roles 类负责管理和操作 WordPress 的用户角色和权限。

深入 WP_Roles 类：揭秘“藏经阁”的结构

咱们先来瞅瞅 WP_Roles 类的构造函数，看看它是如何初始化“藏经阁”的：

<?php
class WP_Roles {

    /**
     * The array of roles.
     *
     * @since 2.0.0
     * @access public
     * @var array
     */
    public $roles = array();

    /**
     * The array of role names.
     *
     * @since 2.0.0
     * @access public
     * @var array
     */
    public $role_names = array();

    /**
     * Option name for storing role list.
     *
     * @since 2.0.0
     * @access private
     * @var string
     */
    private $role_key;

    /**
     * Whether to use the database for retrieval and storage.
     *
     * @since 2.1.0
     * @access private
     * @var bool
     */
    private $use_db = true;

    /**
     * Constructor - Registers the role management filters.
     *
     * The roles option is also updated, using the $wp_roles global.
     *
     * @since 2.0.0
     *
     * @global wpdb $wpdb WordPress database abstraction object.
     */
    public function __construct() {
        global $wpdb;

        $this->role_key = $wpdb->prefix . 'user_roles';

        if ( ! empty( $GLOBALS['wp_user_roles'] ) ) {
            $this->roles      = $GLOBALS['wp_user_roles'];
            $this->role_names = $GLOBALS['wp_user_roles'];
            unset( $GLOBALS['wp_user_roles'] );
        } else {
            $roles = get_option( $this->role_key );

            if ( is_array( $roles ) ) {
                $this->roles = $roles;
            }
        }

        $this->role_names = array(
            'administrator' => __( 'Administrator' ),
            'editor'        => __( 'Editor' ),
            'author'        => __( 'Author' ),
            'contributor'   => __( 'Contributor' ),
            'subscriber'    => __( 'Subscriber' ),
        );

        add_filter( 'editable_roles', array( $this, 'filter_editable_roles' ) );
    }
    // 省略其他函数
}

从代码中可以看到，WP_Roles 类主要有以下几个属性：

• $roles： 一个数组，用于存储所有的 Role 信息。每个 Role 都是一个数组，包含该 Role 的 Capability 列表。
• $role_names： 一个数组，用于存储 Role 的名称。
• $role_key： 用于存储 Role 信息的数据库选项名称，通常是 wp_user_roles。
• $use_db： 一个布尔值，用于指示是否从数据库中加载和存储 Role 信息。

构造函数的主要作用是从数据库（通过 get_option() 函数）加载 Role 信息，并将其存储到 $roles 属性中。如果数据库中没有 Role 信息，则使用默认的 Role 名称（administrator, editor, author, contributor, subscriber）。

$roles 数组的结构：Role 和 Capability 的“排兵布阵”

$roles 数组是 wp_roles 对象的核心，它存储了所有 Role 的信息。这个数组的结构如下：

$roles = array(
    'role_name' => array(
        'name' => 'Role Name',
        'capabilities' => array(
            'capability_1' => true,
            'capability_2' => true,
            // ...
        ),
    ),
    // ...
);

其中：

• role_name 是 Role 的名称，比如 'administrator'、'editor'。
• name 是 Role 的显示名称，比如 'Administrator'、'Editor'。
• capabilities 是一个数组，用于存储该 Role 拥有的 Capability。每个 Capability 都是一个键值对，键是 Capability 的名称，值是 true（表示拥有该 Capability）。

举个例子，administrator Role 的 $roles 数组可能如下所示：

$roles['administrator'] = array(
    'name' => 'Administrator',
    'capabilities' => array(
        'switch_themes' => true,
        'edit_posts' => true,
        'edit_others_posts' => true,
        'publish_posts' => true,
        'manage_categories' => true,
        'manage_links' => true,
        'moderate_comments' => true,
        'import' => true,
        'install_plugins' => true,
        'install_themes' => true,
        'update_plugins' => true,
        'update_themes' => true,
        'delete_plugins' => true,
        'delete_themes' => true,
        'edit_pages' => true,
        'edit_others_pages' => true,
        'publish_pages' => true,
        'delete_pages' => true,
        'delete_others_pages' => true,
        'manage_options' => true,
        'activate_plugins' => true,
        'edit_users' => true,
        'create_users' => true,
        'delete_users' => true,
        'upload_files' => true,
        'unfiltered_html' => true,
        'edit_dashboard' => true,
        'customize' => true,
        'delete_site' => true,
        'export' => true,
    ),
);

常用函数：玩转 Role 和 Capability 的“十八般武艺”

WP_Roles 类提供了一系列函数，用于管理和操作 Role 和 Capability。下面列举一些常用的函数：

• add_role( $role, $display_name, $capabilities )： 添加一个新的 Role。

  global $wp_roles;
  $wp_roles->add_role( 'custom_role', 'Custom Role', array( 'read' => true ) );

• remove_role( $role )： 移除一个 Role。

  global $wp_roles;
  $wp_roles->remove_role( 'custom_role' );

• get_role( $role )： 获取一个 Role 对象。

  global $wp_roles;
  $role = $wp_roles->get_role( 'administrator' );
  if ( ! empty( $role ) ) {
      echo $role->name; // 输出 "Administrator"
  }

• get_names()： 获取所有 Role 的名称。

  global $wp_roles;
  $role_names = $wp_roles->get_names();
  print_r( $role_names );

• has_cap( $role, $cap )： 检查一个 Role 是否拥有某个 Capability。

  global $wp_roles;
  $role = $wp_roles->get_role( 'editor' );
  if ( ! empty( $role ) ) {
      if ( $role->has_cap( 'edit_posts' ) ) {
          echo 'Editor 可以编辑文章';
      } else {
          echo 'Editor 不能编辑文章';
      }
  }

• add_cap( $role, $cap, $grant = true )： 给一个 Role 添加一个 Capability。

  global $wp_roles;
  $wp_roles->add_cap( 'editor', 'manage_custom_posts' );

• remove_cap( $role, $cap )： 从一个 Role 移除一个 Capability。

  global $wp_roles;
  $wp_roles->remove_cap( 'editor', 'manage_custom_posts' );

用户对象：侠客与门派的“身份认证”

用户对象（WP_User 类）代表 WordPress 中的一个用户。每个用户都有一个或多个 Role。用户对象通过 WP_User::has_cap() 方法来判断自己是否拥有某个 Capability。

WP_User::has_cap() 方法的判断逻辑如下：

1. 首先，检查用户是否拥有该 Capability。
2. 如果没有，则检查用户所属的 Role 是否拥有该 Capability。
3. 如果仍然没有，则检查用户是否拥有 'administrator' Role。如果拥有，则默认拥有所有 Capability。

Capability 的分类：武功招式的“流派”

WordPress 的 Capability 可以分为以下几类：

• 内容管理： edit_posts、publish_posts、delete_posts 等。
• 用户管理： edit_users、create_users、delete_users 等。
• 主题和插件管理： install_plugins、install_themes、update_plugins 等。
• 站点管理： manage_options、import、export 等。

自定义 Role 和 Capability：开宗立派的“秘诀”

WordPress 允许开发者自定义 Role 和 Capability，从而实现更灵活的权限控制。

• 自定义 Role：

  add_action( 'init', 'create_custom_role' );
  function create_custom_role() {
      global $wp_roles;
      if ( ! isset( $wp_roles ) ) {
          $wp_roles = new WP_Roles();
      }
      $wp_roles->add_role( 'custom_role', 'Custom Role', array( 'read' => true, 'edit_posts' => true ) );
  }

• 自定义 Capability：

  add_action( 'init', 'add_custom_capability' );
  function add_custom_capability() {
      $role = get_role( 'editor' );
      $role->add_cap( 'manage_custom_posts' );
  }

使用场景：权限控制的“实战演练”

• 限制用户访问特定页面：

  function restrict_page_access() {
      if ( ! current_user_can( 'manage_options' ) && is_page( 'sensitive-page' ) ) {
          wp_die( '您没有权限访问此页面！' );
      }
  }
  add_action( 'template_redirect', 'restrict_page_access' );

• 根据用户 Role 显示不同的内容：

  if ( current_user_can( 'edit_posts' ) ) {
      echo '<p>欢迎，编辑！</p>';
  } else {
      echo '<p>欢迎，访客！</p>';
  }

• 在插件中定义自定义权限：

  // 在插件激活时添加自定义 Capability
  register_activation_hook( __FILE__, 'my_plugin_activate' );
  function my_plugin_activate() {
      $role = get_role( 'administrator' );
      $role->add_cap( 'manage_my_plugin' );
  }
  
  // 在插件停用时移除自定义 Capability
  register_deactivation_hook( __FILE__, 'my_plugin_deactivate' );
  function my_plugin_deactivate() {
      $role = get_role( 'administrator' );
      $role->remove_cap( 'manage_my_plugin' );
  }
  
  // 使用自定义 Capability
  if ( current_user_can( 'manage_my_plugin' ) ) {
      echo '<p>可以管理我的插件</p>';
  }

表格总结：Role 和 Capability 的“葵花宝典”

概念	描述	示例
Role	用户角色，代表一组权限的集合。	Administrator, Editor, Author, Contributor, Subscriber
Capability	具体的权限，比如编辑文章、发布文章、管理用户等。	edit_posts, publish_posts, manage_users
wp_roles	全局变量，存储所有 Role 和 Capability 信息。	global $wp_roles;
WP_Roles	用于管理 Role 和 Capability 的类。	$wp_roles = new WP_Roles();
WP_User	用户对象，代表 WordPress 中的一个用户。	$user = wp_get_current_user();
add_role()	添加一个新的 Role。	$wp_roles->add_role( 'custom_role', 'Custom Role', array( 'read' => true ) );
remove_role()	移除一个 Role。	$wp_roles->remove_role( 'custom_role' );
add_cap()	给一个 Role 添加一个 Capability。	$wp_roles->add_cap( 'editor', 'manage_custom_posts' );
remove_cap()	从一个 Role 移除一个 Capability。	$wp_roles->remove_cap( 'editor', 'manage_custom_posts' );
has_cap()	检查用户或 Role 是否拥有某个 Capability。	current_user_can( 'edit_posts' )
current_user_can()	检查当前用户是否拥有某个 Capability。	current_user_can( 'edit_posts' )

注意事项：权限管理的“雷区”

• 不要随意修改默认 Role 的权限。 除非你非常清楚自己在做什么，否则修改默认 Role 的权限可能会导致意想不到的问题。
• 谨慎使用 unfiltered_html Capability。 拥有该 Capability 的用户可以提交任意 HTML 代码，包括恶意代码。
• 在插件卸载时，务必清理自定义 Role 和 Capability。 否则，这些 Role 和 Capability 会一直保留在数据库中，可能会导致冲突。
• 安全第一。 始终要考虑权限管理的安全性，避免出现安全漏洞。

总结：掌握权限体系，成为 WordPress “掌门人”

WordPress 的 Role 和 Capability 系统是一个强大而灵活的权限管理工具。理解了它的原理和使用方法，你就可以轻松地控制用户权限，构建安全可靠的 WordPress 网站。希望今天的讲座对你有所帮助，祝你早日成为 WordPress “掌门人”！

有什么问题，尽管提问！