如何在WordPress插件文件中验证用户是否为管理员？

兄弟，你这段代码里踩了个非常常见的坑——is_admin()函数根本不是用来判断用户是否是管理员的！它的作用是检测当前页面是否属于WordPress后台管理界面，和用户的权限半毛钱关系都没有。现在你的逻辑完全反了：管理员在前台访问这个文件会被拦截，而普通用户只要进了后台反而能拿到PDF，这显然不符合你的需求。

给你修正后的正确代码：

// 加载WordPress核心文件
define( 'WP_USE_THEMES', false );
require( '../../../wp-load.php' );

// 验证用户已登录且拥有管理员权限
if ( is_user_logged_in() && current_user_can( 'manage_options' ) ) {
    header('Content-Type: application/pdf');
    echo base64_decode($pdf_data);
} else {
    // 对未登录或非管理员返回403禁止访问
    wp_die( '你没有权限访问此内容', '权限不足', array( 'response' => 403 ) );
}

关键知识点解释： #

• is_user_logged_in()：先过滤掉未登录的访客，确保只有已登录用户能进入下一步验证
• current_user_can( 'manage_options' )：这是WordPress判断管理员权限的标准方式。manage_options是只有管理员角色默认拥有的权限（编辑、作者等角色都没有），用权限判断比直接检查角色更灵活——毕竟WordPress支持自定义角色，直接检查角色可能会漏掉一些拥有管理员权限的自定义角色用户。如果你确实只想限制默认的管理员角色，也可以换成current_user_can( 'administrator' )，但更推荐用权限。
• wp_die()：用WordPress自带的函数返回标准403错误页面，比自己echo错误信息更规范，也更符合WP的安全机制。

额外注意事项： #

• 确认wp-load.php的路径是否正确，不同插件的目录结构可能需要调整../的数量
• 尽量不要直接暴露这个PHP文件的URL，建议通过WordPress的重写规则或者短代码来触发访问，减少被恶意请求的风险
• 如果$pdf_data是从数据库或用户输入获取的，一定要做好安全过滤，防止XSS或其他注入风险

内容的提问来源于stack exchange，提问作者Kody