WordPress CPT角色权限问题：员工越权编辑删除他人agenda文章

权限不生效的核心原因有两个：

1. 注册自定义文章类型时未开启map_meta_cap参数，WordPress无法基于文章归属关系做细粒度权限判断，只要用户持有edit_agendas/delete_agendas权限就可以操作所有同类型文章，不区分作者。
2. 权限配置存在错漏：未显式设置他人内容操作权限的拒绝规则，还写了delete_others_agenda这类不符合WordPress权限命名规范的无效键（系统统一以复数形式作为权限后缀），同时缺失edit_others_agendas这类核心权限项的配置。

第一步：修正CPT注册参数 #

在注册agenda类型的配置数组中，补充权限映射核心参数，示例：

// 自定义文章类型注册的权限相关配置项
'capability_type' => 'agenda',
'map_meta_cap'    => true, // 必加：开启元权限映射，启用作者归属判断逻辑

第二步：重置并重新配置角色权限 #

add_role函数仅在角色不存在时生效，已创建的角色不会自动更新权限，需要先移除旧角色再重新创建：

// 清除旧的错误角色配置
remove_role('owner');
remove_role('employee');

// 创建Owner角色：拥有agenda类型全量操作权限
add_role('owner', 'Eigenaar', [
    'read'                  => true,
    'publish_agendas'       => true,
    'edit_agendas'          => true,
    'delete_agendas'        => true,
    'edit_others_agendas'   => true, // 编辑他人内容权限
    'delete_others_agendas' => true, // 删除他人内容权限
    'read_private_agendas'  => true, // 以下为私有内容操作权限，按需保留
    'edit_private_agendas'  => true,
    'delete_private_agendas'=> true,
]);

// 创建Employee角色：仅可操作自己创建的agenda内容
add_role('employee', 'Personeel', [
    'read'                  => true,
    'publish_agendas'       => true,
    'edit_agendas'          => true,
    'delete_agendas'        => true,
    // 显式关闭他人内容操作权限，避免默认配置或插件带来的权限溢出
    'edit_others_agendas'   => false,
    'delete_others_agendas' => false,
]);

• 代码部署完成后，所有已登录的相关角色账号需要退出重新登录，清空用户权限缓存后规则才会生效
• 若站点安装了角色权限管理类插件，需要检查插件配置是否给employee角色额外开启了编辑/删除他人内容的权限，插件配置优先级高于代码级配置
• 不要使用edit_agenda、delete_others_agenda这类单数后缀的权限键，WordPress核心权限逻辑不会识别这类无效键。

内容的提问来源于stack exchange，提问作者Jop