WordPress如何编程设置用户邮箱并将订阅者角色改为供应商

原代码存在的问题 #

• 语法不完整：if判断语句缺少闭合大括号，直接触发PHP语法错误
• $_POST参数引用错误：$_POST[ $user_id ]、$_POST[ $current_user ]写法完全错误，$_POST的键应为前端提交表单对应字段的字符串名称，不能直接传入用户ID变量或WP_User对象作为键名
• 缺少角色修改逻辑：原代码仅尝试更新邮箱，没有添加修改用户角色的相关代码
• 缺少安全校验：没有做权限校验、提交参数合法性校验、nonce防跨站请求伪造校验，存在安全风险
• 缺少错误处理：没有判断wp_update_user是否执行成功，无法定位问题

可直接使用的实现代码 #

假设你前端提交的表单里，目标用户ID字段名为target_user_id，新邮箱字段名为new_user_email，使用自定义nonce字段update_user_email_role_nonce做安全校验，实现代码如下：

// 仅允许拥有编辑用户权限的账号操作（比如管理员），防止越权
if (!current_user_can('edit_users')) {
    wp_die('权限不足，无法操作用户数据');
}

// 校验nonce防止CSRF攻击
if (!isset($_POST['update_user_email_role_nonce']) || !wp_verify_nonce($_POST['update_user_email_role_nonce'], 'update_user_email_role_action')) {
    wp_die('请求不合法，请刷新页面重试');
}

// 校验提交的目标用户ID
if (!isset($_POST['target_user_id']) || (int)$_POST['target_user_id'] < 1) {
    wp_die('提交的用户ID不合法');
}
$target_user_id = (int)$_POST['target_user_id'];
$target_user = get_userdata($target_user_id);
if (!$target_user) {
    wp_die('目标用户不存在');
}

// 校验提交的邮箱合法性
if (!isset($_POST['new_user_email']) || !is_email($_POST['new_user_email'])) {
    wp_die('提交的邮箱格式不合法');
}
$new_email = sanitize_email($_POST['new_user_email']);
// 校验邮箱是否已被其他用户占用
if (email_exists($new_email) && email_exists($new_email) !== $target_user_id) {
    wp_die('该邮箱已被其他用户使用');
}

// 判断用户当前角色是否为subscriber
if (in_array('subscriber', $target_user->roles)) {
    // 更新用户邮箱
    $update_result = wp_update_user([
        'ID' => $target_user_id,
        'user_email' => $new_email
    ]);
    
    if (is_wp_error($update_result)) {
        wp_die('邮箱更新失败：' . $update_result->get_error_message());
    }
    
    // 更新用户角色为vendor
    $target_user->set_role('vendor');
}

// 操作成功提示或者跳转逻辑自行补充
echo '用户邮箱与角色更新成功';

注意事项 #

• 请将代码里的表单字段名、nonce名称替换为你实际前端表单的对应字段名
• 请确保你的站点已经注册了vendor角色（比如WooCommerce多Vendor插件自带的供应商角色，或者你自定义注册的角色），角色不存在的话会更新失败
• 如果是在前端非管理员页面执行该操作，请根据你的业务需求调整权限校验规则，避免出现越权修改用户数据的安全问题

内容的提问来源于stack exchange，提问作者user9648262