多站点环境下如何限制用户仅创建指定角色的新用户？

我来帮你搞定这个问题！你之前用editable_roles过滤前端角色的思路没问题，但这只是视觉层面的限制——用户确实可以通过浏览器开发者工具修改表单值绕过。要彻底解决，必须前端优化体验+后端强制验证双管齐下：

第一步：过滤前端可选角色（优化用户体验） #

先通过editable_roles过滤器把无权创建的角色从下拉菜单里移除，给用户清晰的操作指引，避免无效尝试：

add_filter('editable_roles', 'restrict_editable_roles_for_custom_users');
function restrict_editable_roles_for_custom_users($roles) {
    // 检查当前用户是具备创建权限的自定义角色，同时排除超级管理员
    if (current_user_can('create_users') && !current_user_can('manage_network_users')) {
        // 定义允许创建的角色列表，替换成你实际需要的角色slug
        $allowed_roles = ['subscriber', 'your_custom_role'];
        
        // 移除不在允许列表里的角色
        foreach ($roles as $role_key => $role_details) {
            if (!in_array($role_key, $allowed_roles)) {
                unset($roles[$role_key]);
            }
        }
    }
    return $roles;
}

第二步：后端强制验证（核心拦截逻辑） #

这一步是关键，通过user_profile_update_errors钩子在用户数据写入数据库前校验角色合法性，就算用户改了表单值也会被拦截：

add_action('user_profile_update_errors', 'validate_new_user_role_restriction', 10, 3);
function validate_new_user_role_restriction(&$errors, $update, $user) {
    // 只针对新建用户操作，且排除超级管理员
    if (!$update && current_user_can('create_users') && !current_user_can('manage_network_users')) {
        // 获取提交的角色参数（多站点场景下表单参数是role）
        $submitted_role = isset($_POST['role']) ? $_POST['role'] : '';
        // 和上面的允许列表保持一致
        $allowed_roles = ['subscriber', 'your_custom_role'];
        
        // 校验角色是否合法，不合法就抛出错误
        if (!in_array($submitted_role, $allowed_roles)) {
            $errors->add('invalid_role', __('你只能创建指定角色的用户。', 'your-text-domain'));
        }
    }
}

多站点额外补充：拦截站点注册场景 #

如果你的场景允许用户通过多站点注册页面添加用户，还可以配合wpmu_validate_user_signup钩子做拦截：

add_filter('wpmu_validate_user_signup', 'restrict_role_on_wpmu_signup');
function restrict_role_on_wpmu_signup($result) {
    if (current_user_can('create_users') && !current_user_can('manage_network_users')) {
        $allowed_roles = ['subscriber', 'your_custom_role'];
        $submitted_role = isset($_POST['role']) ? $_POST['role'] : '';
        
        if (!in_array($submitted_role, $allowed_roles)) {
            $result['errors']->add('invalid_role', __('你只能创建指定角色的用户。', 'your-text-domain'));
        }
    }
    return $result;
}

注意事项 #

• 把代码里的your_custom_role替换成你实际允许的角色slug，your-text-domain替换成你的主题/插件文本域（不需要国际化的话直接写中文提示即可）
• 确保你的自定义角色确实拥有create_users权限，同时通过!current_user_can('manage_network_users')排除超级管理员，避免限制管理员的正常操作
• 所有代码可以添加到主题的functions.php文件或者自定义插件中

内容的提问来源于stack exchange，提问作者Christopher