WordPress管理员调用REST API修改用户角色返回rest_cannot_edit_roles错误

1. 被修改用户的角色优先级限制 #

WordPress权限体系中，管理员无法修改与自身角色同级或等级更高的用户角色。先通过GET /wp-json/wp/v2/users/35接口查看用户ID35的当前角色，如果它本身是管理员或其他超级角色，即使用管理员关联的API密钥也无法修改其角色。

2. API密钥的权限范围设置问题 #

在WooCommerce创建API密钥时，若权限范围选的是只读，即使关联管理员账号，也无法执行修改操作。检查密钥创建时的权限设置，确保选择的是Read/Write（读写）权限。

3. 主题或插件的权限钩子干扰 #

部分主题或第三方插件可能通过rest_user_query、map_meta_cap等钩子修改了REST API的权限逻辑，限制了管理员通过API修改用户角色的权限。可以临时禁用所有第三方插件，切换到WordPress默认主题（如Twenty Twenty-Four）后重新测试接口。

4. 被修改用户是API密钥关联的管理员自身 #

WordPress默认禁止管理员通过API修改自己的角色（避免误操作导致失去管理员权限）。如果用户ID35就是创建该API密钥的管理员账号，需要用另一个管理员账号生成的API密钥来执行修改操作。

5. WooCommerce API密钥与WP核心REST API的权限差异 #

WooCommerce API密钥主要针对WooCommerce相关接口设计，虽能调用WP核心REST接口，但部分核心权限（如用户角色修改）可能未被完全授权。可以尝试使用WordPress原生的应用密码（在用户个人设置页面创建）替代WooCommerce API密钥，重新测试接口。

内容的提问来源于stack exchange，提问作者Shawn de Wet