WordPress自定义用户角色与自定义文章类型编辑权限问题求助

核心原因 #

你的自定义文章类型设置了hierarchical => true（层级结构，类似WordPress页面），同时使用了自定义权限组['workorder','workorders']，但WordPress对层级型自定义文章类型的权限映射存在特殊逻辑——仅通过User Role Editor添加常规权限会遗漏部分元权限的关联，导致编辑工单时权限校验失败。而授予edit_posts权限时，WordPress会默认开放页面类权限的映射，但同时会解锁默认文章模块的访问权。

解决步骤 #

1. 明确自定义文章类型的权限配置

修改register_post_type代码，手动指定完整的capabilities数组，替代仅依赖capability_type的自动映射，确保权限完全匹配：

register_post_type( 'workorder',
    array(
        'labels' => array(
            'name' => __( 'Work Order' ),
            'singular_name' => __( 'Work Order' )
        ),
        'public' => true,
        'publicly_queryable' => false,
        'has_archive' => false,
        'supports' => array( 'title', 'page-attributes', 'author'),
        'menu_position' => 20,
        'hierarchical' => true,
        'capability_type' => array('workorder','workorders'),
        'map_meta_cap' => true,
        // 手动定义所有工单相关权限
        'capabilities' => array(
            'edit_post'          => 'edit_workorder',
            'read_post'          => 'read_workorder',
            'delete_post'        => 'delete_workorder',
            'edit_posts'         => 'edit_workorders',
            'edit_others_posts'  => 'edit_others_workorders',
            'publish_posts'      => 'publish_workorders',
            'read_private_posts' => 'read_private_workorders',
            'delete_posts'       => 'delete_workorders',
            'delete_private_posts' => 'delete_private_workorders',
            'delete_published_posts' => 'delete_published_workorders',
            'delete_others_posts' => 'delete_others_workorders',
            'edit_private_posts' => 'edit_private_workorders',
            'edit_published_posts' => 'edit_published_workorders',
        ),
    )
);

2. 补全角色的缺失权限

在User Role Editor中，为Work Order Manager New角色添加read_workorder权限（单个工单的读取权限，之前的权限列表中遗漏了此项），然后重新保存角色配置。

3. 隐藏默认后台模块

如果担心用户看到默认的“文章”“评论”模块，即使不授予edit_posts权限，也可以通过代码强制隐藏这些菜单：

add_action('admin_menu', 'hide_default_admin_menus_for_workorder_managers');
function hide_default_admin_menus_for_workorder_managers() {
    $current_user = wp_get_current_user();
    if (in_array('work_orders_new', $current_user->roles)) {
        // 隐藏文章菜单
        remove_menu_page('edit.php');
        // 隐藏评论菜单
        remove_menu_page('edit-comments.php');
    }
}

4. 刷新权限缓存

修改配置后，执行以下操作确保权限生效：

• 在WordPress后台的User Role Editor中，重新保存Work Order Manager New角色的权限
• 刷新后台页面，或通过代码临时执行权限缓存刷新（执行一次后可删除）：

flush_rewrite_rules();
global $wp_roles;
$wp_roles->reinit();

内容的提问来源于stack exchange，提问作者Patrick Sasser