WooCommerce前端指定角色查看任意订单的权限问题求助

我之前也遇到过完全一样的问题——给自定义角色开了和Shop Manager一样的权限，能在「我的账户」里看到所有同角色的订单列表，但点进去单个订单就弹出「Invalid order. My account」错误。核心原因是WooCommerce在单个订单访问时还有额外的权限验证逻辑，和订单列表的查询过滤是完全分开的。

问题根源 #

WooCommerce默认会通过woocommerce_check_order_permissions过滤器（或者内部的WC_Order::is_viewable()方法）验证用户权限，默认只允许三类用户查看订单：

• 订单的所有者用户
• 管理员角色
• 店铺经理角色

哪怕你给自定义角色加了全量权限，这个默认验证逻辑还是会拦截访问请求。

解决方案：修改订单权限验证逻辑 #

我们可以通过钩子覆盖默认的权限检查，让自定义角色能访问同角色用户创建的订单。同时我也会优化你之前的订单查询代码，让它更符合WordPress规范。

1. 优化订单列表查询代码

你之前直接操作数据库的方式可以换成WP_Query原生参数，更安全也更易维护：

function lf_modify_my_order_query( $query ) {
    $current_user = wp_get_current_user();
    $allowed_roles = ['administrator', 'custom_role'];

    if ( array_intersect( $allowed_roles, $current_user->roles ) ) {
        // 只获取同角色用户的ID，提升性能
        $same_role_users = get_users( array(
            'role'   => $current_user->roles[0],
            'fields' => 'ID'
        ) );

        unset( $query['customer'] );
        $query['meta_query'] = array(
            array(
                'key'     => '_customer_user',
                'value'   => $same_role_users,
                'compare' => 'IN'
            )
        );
    }

    return $query;
}
add_filter( 'woocommerce_my_account_my_orders_query', 'lf_modify_my_order_query', 20, 1 );

2. 添加订单权限验证钩子

添加以下代码，让自定义角色能访问同角色用户的订单：

function lf_custom_order_permissions( $permission, $order_id, $user ) {
    // 如果用户已拥有权限，直接返回
    if ( $permission ) {
        return $permission;
    }

    $current_user = wp_get_current_user();
    // 仅针对自定义角色和管理员处理
    if ( ! in_array( 'custom_role', $current_user->roles ) && ! in_array( 'administrator', $current_user->roles ) ) {
        return $permission;
    }

    $order = wc_get_order( $order_id );
    if ( ! $order ) {
        return $permission;
    }

    // 校验订单所属用户是否和当前用户角色相同
    $order_user = get_user_by( 'id', $order->get_customer_id() );
    if ( $order_user && in_array( $current_user->roles[0], $order_user->roles ) ) {
        return true;
    }

    return $permission;
}
add_filter( 'woocommerce_check_order_permissions', 'lf_custom_order_permissions', 20, 3 );

额外说明 #

• 如果你想让custom_role能查看所有订单（不受订单用户角色限制），可以把权限判断逻辑简化：

if ( in_array( 'custom_role', $current_user->roles ) || in_array( 'administrator', $current_user->roles ) ) {
    return true;
}

• 测试前记得清空网站缓存，避免旧的权限逻辑残留。

内容的提问来源于stack exchange，提问作者Lukasz Formela