非超级管理员查看前端隐藏页面时编辑链接仍显示的问题

问题描述 #

非超级管理员用户在前端访问标记为隐藏的页面时，顶部管理栏（Admin Bar）中的编辑页面链接仍然显示。已编写移除编辑链接、调整用户权限的函数，但问题未解决。

现有代码的潜在问题分析 #

1. 钩子优先级不足：若remove_edit_button_for_hidden_pages和remove_edit_menu_late函数使用默认优先级挂载wp_admin_bar_menu钩子，可能晚于主题/插件添加编辑节点的时机，导致移除操作失效。
2. 页面ID获取不稳定：仅依赖get_queried_object_id()可能在自定义查询、页面模板等场景下无法正确获取当前页面ID。
3. 节点覆盖不全面：部分主题或插件会添加自定义编辑相关节点，现有代码移除的节点列表可能存在遗漏。
4. 权限控制逻辑不够精准：直接修改$allcaps数组的方式，可能被WordPress的权限系统后续覆盖。

修复方案 #

1. 调整钩子优先级与页面ID获取逻辑 #

修改管理栏节点移除函数的挂载优先级，并优化页面ID获取方式，确保能稳定拿到当前页面ID：

// 正确挂载钩子，设置高优先级确保在其他节点添加后执行
add_action('wp_admin_bar_menu', array($this, 'remove_edit_button_for_hidden_pages'), 999);
add_action('wp_before_admin_bar_render', array($this, 'remove_edit_menu_late'), 999);

// 优化后的管理栏节点移除函数
public function remove_edit_button_for_hidden_pages($wp_admin_bar) {
    if ($this->is_super_admin() || !$this->is_enabled()) {
        return;
    }
    
    // 优先通过全局$post对象获取ID，避免自定义查询场景下失效
    global $post;
    $post_id = $post ? $post->ID : get_queried_object_id();
    
    if (!$post_id || get_post_type($post_id) !== 'page') {
        return;
    }

    $hidden_pages = $this->get_hidden_pages();
    if (in_array($post_id, $hidden_pages)) {
        // 移除核心编辑相关节点
        $nodes_to_remove = [
            'edit', 'customize', 'edit-frontend', 'site-editor', 
            'edit-site', 'edit-page', 'edit-post'
        ];
        foreach ($nodes_to_remove as $node) {
            if ($wp_admin_bar->get_node($node)) {
                $wp_admin_bar->remove_node($node);
            }
        }
    }
}

// 延迟移除函数优化
public function remove_edit_menu_late() {
    global $wp_admin_bar, $post;
    if ($this->is_super_admin() || !$this->is_enabled()) {
        return;
    }

    $post_id = $post ? $post->ID : get_queried_object_id();
    if (!$post_id || get_post_type($post_id) !== 'page') {
        return;
    }

    $hidden_pages = $this->get_hidden_pages();
    if (in_array($post_id, $hidden_pages)) {
        $nodes_to_remove = ['edit', 'edit-frontend', 'customize'];
        foreach ($nodes_to_remove as $node) {
            if ($wp_admin_bar->get_node($node)) {
                $wp_admin_bar->remove_node($node);
            }
        }
    }
}

2. 强化权限控制逻辑 #

改用map_meta_cap过滤器更精准地控制编辑权限，替代直接修改$allcaps的方式：

add_filter('map_meta_cap', array($this, 'control_edit_page_cap'), 10, 4);

public function control_edit_page_cap($caps, $cap, $user_id, $args) {
    if (!$this->is_enabled() || $this->is_super_admin()) {
        return $caps;
    }

    // 仅处理页面编辑相关权限
    $edit_caps = ['edit_post', 'edit_page', 'edit_others_pages', 'edit_published_pages'];
    if (!in_array($cap, $edit_caps)) {
        return $caps;
    }

    $post_id = isset($args[0]) ? $args[0] : 0;
    if (!$post_id || get_post_type($post_id) !== 'page') {
        return $caps;
    }

    $hidden_pages = $this->get_hidden_pages();
    if (in_array($post_id, $hidden_pages)) {
        // 返回无权限标识
        return ['do_not_allow'];
    }

    return $caps;
}

3. 确保编辑链接过滤器正确挂载 #

确认remove_hidden_page_edit_link函数正确挂载到edit_post_link过滤器：

add_filter('edit_post_link', array($this, 'remove_hidden_page_edit_link'), 10, 3);

public function remove_hidden_page_edit_link($link, $post_id, $context) {
    if (!$this->is_enabled() || $this->is_super_admin()) {
        return $link;
    }
    if (get_post_type($post_id) !== 'page') {
        return $link;
    }
    $hidden_pages = $this->get_hidden_pages();
    if (in_array($post_id, $hidden_pages)) {
        return '';
    }
    return $link;
}

4. 额外排查步骤 #

• 清除WordPress缓存及浏览器缓存，避免缓存导致的旧状态残留。
• 检查是否有第三方插件（如SEO插件、页面构建器）添加了自定义编辑节点，可通过打印$wp_admin_bar->get_nodes()查看所有节点名称，补充到移除列表中。

内容的提问来源于stack exchange，提问作者Emmanuel Kuebu