WordPress自定义角色前端删除spots自定义文章失效问题排查

问题背景 #

自定义角色members可添加、编辑自定义文章类型spot，但前端通过get_delete_post_link($post->ID)生成的删除链接仅管理员可见。current_user_can测试结果显示：用户为文章作者、拥有delete_posts和delete_spots权限，但delete_post与delete_spot验证不通过。

一、权限排查方法 #

1. 数据库权限存储验证 #

WordPress角色权限存储在wp_options表（表前缀依配置调整）中，找到option_name为wp_user_roles的记录，其option_value是序列化数组。反序列化后查看members角色的capabilities字段，确认是否包含以下关键权限：

• delete_spot（单篇spot删除权限）
• delete_published_spots（删除自身发布的spot权限）
• delete_spots（批量spot删除权限）

2. 打印当前用户实际权限 #

在前端测试代码中添加以下代码，直接输出当前用户的所有权限，验证User Role Editor的设置是否实际生效：

print_r(wp_get_current_user()->allcaps);

检查输出结果中是否存在delete_spot、delete_published_spots等必要权限。

3. 检查map_meta_cap的权限映射 #

由于注册spot时设置了map_meta_cap => true，WordPress会自动将通用权限（如delete_post）映射为CPT的特定权限。此时需确保：

• 若用户为文章作者，需拥有delete_published_spots权限才能删除自身发布的spot
• 若需删除他人的spot，还需添加delete_others_spots权限

二、前端AJAX删除实现方案 #

1. 注册AJAX处理动作（主题functions.php中添加） #

// 注册登录用户可访问的AJAX删除动作
add_action('wp_ajax_delete_spot', 'handle_delete_spot');

function handle_delete_spot() {
    // 验证非ce攻击
    check_ajax_referer('delete_spot_nonce', 'nonce');

    $post_id = isset($_POST['post_id']) ? intval($_POST['post_id']) : 0;
    $post = get_post($post_id);

    // 双重权限验证：用户是文章作者且拥有删除权限
    if (!$post || !current_user_can('delete_spot', $post_id) || get_current_user_id() !== $post->post_author) {
        wp_send_json_error('无删除权限');
    }

    // 执行删除（true为永久删除，false为移至回收站）
    $deleted = wp_delete_post($post_id, true);

    $deleted ? wp_send_json_success('删除成功') : wp_send_json_error('删除失败');
}

2. 前端HTML与JS代码 #

在spot列表或详情页中添加删除按钮，并绑定AJAX请求逻辑：

<!-- 每个spot条目对应的删除按钮，data-post-id存储spot的ID -->
<button class="delete-spot-btn" data-post-id="<?php echo $post->ID; ?>">删除</button>

<script>
document.addEventListener('DOMContentLoaded', function() {
    const deleteButtons = document.querySelectorAll('.delete-spot-btn');
    
    deleteButtons.forEach(btn => {
        btn.addEventListener('click', function(e) {
            e.preventDefault();
            const postId = this.getAttribute('data-post-id');
            
            if (confirm('确定要删除这条内容吗？')) {
                fetch('<?php echo admin_url('admin-ajax.php'); ?>', {
                    method: 'POST',
                    headers: {
                        'Content-Type': 'application/x-www-form-urlencoded',
                    },
                    body: new URLSearchParams({
                        action: 'delete_spot',
                        post_id: postId,
                        nonce: '<?php echo wp_create_nonce('delete_spot_nonce'); ?>'
                    })
                })
                .then(res => res.json())
                .then(data => {
                    if (data.success) {
                        alert(data.data);
                        // 删除当前条目DOM
                        this.closest('.spot-item').remove();
                    } else {
                        alert(data.data);
                    }
                })
                .catch(err => {
                    console.error('删除请求出错:', err);
                    alert('删除失败，请重试');
                });
            }
        });
    });
});
</script>

注意事项 #

• 需通过User Role Editor为members角色添加delete_spot权限
• 可根据需求调整wp_delete_post的第二个参数（true永久删除/false移至回收站）
• 非ce验证必须保留，防止恶意请求

内容的提问来源于stack exchange，提问作者gl03