如何为WordPress自定义角色member_role开放PDF访问权限

原来的.htaccess规则是服务器层面的全局限制，无法识别WordPress的用户角色，所以管理员和自定义角色都会被拦截。要实现指定角色访问PDF的需求，需要结合WordPress的权限校验来调整方案：

1. 移除原有的.htaccess限制规则 #

先删除你之前添加的这段全局禁止PDF的代码：

<FilesMatch "\.(pdf)$">
Order Allow,Deny
Deny from all
</FilesMatch>

2. 添加新的.htaccess规则，将PDF请求转交给WordPress处理 #

在.htaccess的# BEGIN WordPress区块前后添加以下规则，让所有PDF请求先经过WordPress的核心程序：

<FilesMatch "\.(pdf)$">
    RewriteEngine On
    RewriteBase /
    RewriteRule ^(.*)$ index.php?pdf_file=$1 [L]
</FilesMatch>

3. 在主题functions.php中添加权限校验逻辑 #

登录WordPress后台，进入「外观」→「主题文件编辑器」，找到当前主题的functions.php文件，添加以下代码：

function check_pdf_access() {
    // 仅处理PDF文件请求
    if (!isset($_GET['pdf_file']) || strtolower(pathinfo($_GET['pdf_file'], PATHINFO_EXTENSION)) !== 'pdf') {
        return;
    }

    $pdf_path = ABSPATH . $_GET['pdf_file'];
    // 验证文件合法性，防止路径遍历攻击
    if (!file_exists($pdf_path) || strpos(realpath($pdf_path), ABSPATH) !== 0) {
        wp_die('文件不存在或无权访问', '错误', ['response' => 404]);
    }

    // 检查用户角色：允许管理员和member_role角色访问
    $current_user = wp_get_current_user();
    if (in_array('administrator', $current_user->roles) || in_array('member_role', $current_user->roles)) {
        // 输出PDF文件的HTTP头，支持在线查看或下载
        header('Content-Type: application/pdf');
        header('Content-Disposition: inline; filename="' . basename($pdf_path) . '"');
        header('Content-Length: ' . filesize($pdf_path));
        readfile($pdf_path);
        exit;
    } else {
        // 无权限用户返回403错误
        wp_die('您无权访问该文件', '权限不足', ['response' => 403]);
    }
}
add_action('init', 'check_pdf_access');

关键说明 #

• 这段代码会先验证请求的PDF文件是否属于站点合法目录，避免恶意路径遍历；
• 仅对administrator和member_role角色的登录用户开放PDF访问权限；
• 如果你的PDF存放在子目录（比如/wp-content/uploads/pdf/），无需修改代码，只要请求路径正确即可；
• 确保服务器开启了mod_rewrite模块（Apache服务器默认开启），否则.htaccess规则无法生效。

内容的提问来源于stack exchange，提问作者JPashs