自定义文章类型specialist特色媒体API访问返回401 rest_forbidden错误

核心原因 #

WordPress REST API对媒体文件的权限校验会关联到其父文章的访问权限。你的specialist自定义文章类型可能未正确开启REST支持，或者权限配置未覆盖媒体访问的校验逻辑，导致关联的媒体文件返回rest_forbidden错误。

具体解决方案 #

1. 确认自定义文章类型的REST API支持 #

如果是通过代码注册specialist类型，确保配置中包含REST相关参数：

register_post_type( 'specialist', array(
    // 其他基础配置...
    'public' => true,
    'publicly_queryable' => true,
    'show_in_rest' => true,
    'rest_base' => 'specialists',
    'capability_type' => 'post', // 使用默认文章权限，或自定义对应权限组
) );

如果是通过ACF/Secure Custom Fields插件创建的CPT，进入插件的CPT编辑页面，找到REST API选项并勾选启用，同时确认public属性已开启。

2. 修正媒体文件的权限校验逻辑 #

添加钩子修改媒体项的权限检查规则，允许关联specialist文章的媒体被合法访问：

add_filter( 'rest_media_item_permissions_check', 'allow_specialist_media_access', 10, 2 );
function allow_specialist_media_access( $allowed, $request ) {
    $media_id = $request['id'];
    $parent_post_id = wp_get_post_parent_id( $media_id );
    $parent_post = get_post( $parent_post_id );

    // 仅针对关联specialist文章的媒体调整权限
    if ( $parent_post && $parent_post->post_type === 'specialist' ) {
        // 可根据需求调整：比如允许匿名访问则直接return true;
        return current_user_can( 'read', $parent_post_id );
    }

    return $allowed;
}

将这段代码添加到主题的functions.php文件或自定义插件中。

3. 检查Secure Custom Fields的权限设置 #

如果使用了Secure Custom Fields，进入插件的权限配置页面，找到specialist文章类型的权限组，确保：

• 开启了允许REST API访问权限
• 对应用户角色（包括匿名用户）拥有read_specialist权限

4. 快速替代方案：自定义API端点返回图片URL #

如果上述方法暂时无法生效，可以创建自定义API端点直接返回关联specialist文章的媒体URL：

add_action( 'rest_api_init', 'register_specialist_media_endpoint' );
function register_specialist_media_endpoint() {
    register_rest_route( 'custom/v1', '/specialist-media/(?P<id>\d+)', array(
        'methods' => 'GET',
        'callback' => 'get_specialist_media_url',
        'permission_callback' => function() {
            // 按需设置权限，允许匿名访问则return true;
            return current_user_can( 'read' );
        }
    ) );
}

function get_specialist_media_url( $request ) {
    $media_id = $request['id'];
    $parent_post = get_post( wp_get_post_parent_id( $media_id ) );

    if ( $parent_post && $parent_post->post_type === 'specialist' ) {
        return array(
            'url' => wp_get_attachment_url( $media_id ),
            'thumbnail' => wp_get_attachment_image_url( $media_id, 'thumbnail' )
        );
    }

    return new WP_Error( 'invalid_media', '媒体文件未关联specialist文章', array( 'status' => 404 ) );
}

部署后，访问/wp-json/custom/v1/specialist-media/107即可获取对应媒体文件的URL。

内容的提问来源于stack exchange，提问作者Glenn Carver