WordPress未登录用户重定向问题：自定义登录页权限控制失效

我来帮你搞定这个问题——你遇到的核心问题是直接在functions.php开头写Session逻辑、以及误用WordPress原生跳转函数，和你自定义的用户认证系统不兼容。下面给你一步步的解决方案：

为什么你的原有方法无效？ #

• 直接在functions.php开头调用session_start()时机不对：WordPress在加载过程中可能已经初始化了Session（比如通过插件或核心机制），重复调用会导致Session冲突，甚至无法正确读取你存储的$_SESSION['user']。
• auth_redirect()和wp_redirect()的问题：auth_redirect()是针对WordPress原生用户系统的，它会检查is_user_logged_in()（依赖WP自己的用户cookie），而你的自定义系统用的是Session，所以这个函数完全不生效；wp_redirect()如果没有正确处理退出当前脚本（比如没加exit;），后续代码依然会执行，导致跳转失效。

正确的实现步骤 #

1. 安全初始化Session #

不要直接在functions.php开头写session_start()，而是通过WordPress的init钩子来初始化，避免冲突：

add_action('init', 'custom_session_init');
function custom_session_init() {
    if (!session_id()) {
        // 开启安全Session配置，可选但推荐
        session_set_cookie_params([
            'lifetime' => 86400, // 1天有效期
            'path' => '/',
            'domain' => $_SERVER['HTTP_HOST'],
            'secure' => is_ssl(), // 仅HTTPS下传输
            'httponly' => true, // 防止JS读取，提高安全性
            'samesite' => 'Strict' // 防止CSRF
        ]);
        session_start();
    }
}

2. 自定义访问控制逻辑 #

使用template_redirect钩子（这是WordPress模板加载前的关键钩子，适合做访问拦截），同时要排除你的登录/注册页面，避免无限跳转：

add_action('template_redirect', 'custom_access_control');
function custom_access_control() {
    // 排除登录、注册页面（根据你的实际页面slug修改）
    $allowed_pages = ['login', 'register'];
    $current_slug = get_post_field('post_name', get_post());
    
    // 如果是允许的页面，直接跳过校验
    if (in_array($current_slug, $allowed_pages)) {
        return;
    }
    
    // 检查自定义Session中的用户
    if (!isset($_SESSION['user'])) {
        // 跳转到登录页面，记得加exit终止脚本
        wp_redirect(home_url('/login'));
        exit;
    }
}

注意：如果你的登录页面是自定义页面模板而非默认页面，你可以通过is_page_template('your-login-template.php')来判断，替换上面的$current_slug逻辑。

3. 注销时销毁Session #

记得在用户注销时清理Session，避免残留：

add_action('wp_logout', 'custom_session_destroy');
function custom_session_destroy() {
    if (session_id()) {
        session_unset();
        session_destroy();
    }
}

额外注意事项 #

• 确保你的自定义注册/登录逻辑正确将用户信息存入$_SESSION['user']，比如登录成功后执行$_SESSION['user'] = $user_data;（$user_data是你的用户信息数组）。
• 如果你使用了缓存插件（比如WP Rocket、W3 Total Cache），需要将登录/注册页面和需要限制的页面排除缓存，否则Session校验会被缓存跳过。

内容的提问来源于stack exchange，提问作者Grigory Volkov