如何为WordPress自定义角色授予单个插件的专属访问权限？

你的思路是可行的，但仅添加自定义权限access_xyz_plugin并分配给角色还不够，需要配合修改XYZ Plugin的权限验证逻辑，让插件的菜单和功能页面只识别这个自定义权限。以下是具体实现步骤：

1. 注册并分配自定义权限 #

在主题的functions.php文件或自定义功能插件中添加代码，注册access_xyz_plugin权限并分配给Marketing Team角色：

// 初始化时注册自定义权限并分配给Marketing Team角色
add_action('init', 'setup_xyz_plugin_access');
function setup_xyz_plugin_access() {
    // 如果Marketing Team角色不存在，先创建角色（保留基础阅读权限）
    if (!get_role('marketing_team')) {
        add_role(
            'marketing_team',
            'Marketing Team',
            array('read' => true)
        );
    }
    // 为已存在的Marketing Team角色添加自定义权限
    $marketing_role = get_role('marketing_team');
    $marketing_role->add_cap('access_xyz_plugin');
}

2. 修改XYZ Plugin的权限验证逻辑 #

默认情况下，XYZ Plugin的菜单可能使用manage_options这类全局权限，你需要把它替换成自定义的access_xyz_plugin权限，有两种实现方式：

方式一：直接修改插件代码（注意：插件更新后会失效） #

找到XYZ Plugin中注册菜单的代码（通常在主插件文件或admin目录下），将菜单注册时的权限参数替换为access_xyz_plugin：

// 原插件菜单注册代码示例
add_action('admin_menu', 'xyz_plugin_register_menu');
function xyz_plugin_register_menu() {
    add_menu_page(
        'XYZ Plugin管理页',
        'XYZ Plugin',
        'manage_options', // 原全局权限
        'xyz-plugin-slug',
        'xyz_plugin_render_admin_page',
        'dashicons-admin-plugins',
        6
    );
}

// 修改后的代码
add_action('admin_menu', 'xyz_plugin_register_menu');
function xyz_plugin_register_menu() {
    add_menu_page(
        'XYZ Plugin管理页',
        'XYZ Plugin',
        'access_xyz_plugin', // 替换为自定义权限
        'xyz-plugin-slug',
        'xyz_plugin_render_admin_page',
        'dashicons-admin-plugins',
        6
    );
}

同时在插件的页面渲染函数开头添加权限校验，防止用户直接访问页面：

function xyz_plugin_render_admin_page() {
    // 校验自定义权限，无权限则阻止访问
    if (!current_user_can('access_xyz_plugin')) {
        wp_die('你没有访问该页面的权限');
    }
    // 原页面渲染代码...
}

如果插件有子菜单，需要对所有子菜单做同样的权限替换。

方式二：用钩子覆盖菜单权限（推荐，避免插件更新失效） #

如果不想修改插件源码，可以通过admin_menu钩子（设置更高优先级）先移除原菜单，再重新注册带自定义权限的菜单：

add_action('admin_menu', 'override_xyz_plugin_menu_permissions', 99);
function override_xyz_plugin_menu_permissions() {
    // 移除原XYZ Plugin主菜单（替换为实际的插件菜单slug）
    remove_menu_page('xyz-plugin-slug');
    
    // 重新注册主菜单，使用自定义权限
    add_menu_page(
        'XYZ Plugin管理页',
        'XYZ Plugin',
        'access_xyz_plugin',
        'xyz-plugin-slug',
        'xyz_plugin_render_admin_page',
        'dashicons-admin-plugins',
        6
    );

    // 如果有子菜单，同样移除后重新注册
    // remove_submenu_page('xyz-plugin-slug', 'xyz-plugin-submenu-slug');
    // add_submenu_page(
    //     'xyz-plugin-slug',
    //     '子菜单名称',
    //     '子菜单名称',
    //     'access_xyz_plugin',
    //     'xyz-plugin-submenu-slug',
    //     'xyz_plugin_render_subpage'
    // );
}

最终效果 #

完成以上步骤后，Marketing Team角色的用户只会在后台侧边栏看到XYZ Plugin的菜单，且只能访问该插件的功能页面，不会获得manage_options权限带来的其他插件访问权。

内容的提问来源于stack exchange，提问作者Freddy Hos