WordPress自定义角色下admin_post_nopriv钩子绑定表单提交功能失效问题

问题核心原因 #

你遇到的问题由两个WordPress默认权限控制逻辑导致：

• 第一个核心原因：默认情况下，没有后台访问权限的用户访问admin-post.php（属于wp-admin目录下的后台文件）时，WordPress会直接将用户重定向到首页，根本不会执行你挂载的admin_post_*钩子逻辑。管理员角色默认拥有后台访问权限，所以能正常触发你的代码，而你自定义的Brand角色默认没有分配后台访问相关权限，所以提交表单后直接被WordPress拦截跳首页。
• 第二个原因：就算你解决了admin-post.php的访问问题，你自定义的Brand角色如果没有对应自定义文章类型custom_post_type的发布权限，wp_insert_post也会执行失败，无法创建文章。

修复方案 #

第一步：给Brand角色分配必要的权限 #

在主题functions.php中添加以下代码，给Brand角色分配对应权限，代码只需要执行一次就会永久生效（执行后可以删掉这段代码）：

// 给Brand角色分配访问后台和发布自定义文章类型的权限，执行一次后可删除
$role = get_role( 'brand' );
if ( $role ) {
    // 允许访问后台的基础权限
    $role->add_cap( 'read' );
    // 如果你自定义文章类型的权限用的是默认post的权限，添加以下权限
    $role->add_cap( 'publish_posts' );
    $role->add_cap( 'edit_posts' );
    // 如果你自定义文章类型设置了自定义capability，比如'capability_type' => 'brand_post'，则替换为对应权限：
    // $role->add_cap( 'publish_brand_posts' );
    // $role->add_cap( 'edit_brand_posts' );
}

第二步：可选优化方案（更推荐） #

如果你不希望给普通用户开放后台访问权限，可以不用admin-post.php做表单提交，改用init等前台钩子挂载表单处理逻辑，完全避开后台权限校验。

现有代码安全优化建议 #

你的现有代码缺少必要的安全校验，存在CSRF攻击和参数注入风险，建议补充以下逻辑：

1. 前端表单中添加nonce校验字段：

wp_nonce_field( 'create_new_post_nonce', 'new_post_nonce' );

2. 处理逻辑中添加校验和参数过滤：

// 校验请求合法性
if ( ! wp_verify_nonce( $_POST['new_post_nonce'], 'create_new_post_nonce' ) ) {
    wp_die( '非法请求' );
}
// 过滤用户输入的标题参数
$title = sanitize_text_field( $_POST['newtitle'] );

内容的提问来源于stack exchange，提问作者Sambhu M R