WordPress 的用户系统比你想象的要灵活得多。默认提供了五种角色：管理员、编辑、作者、投稿者、订阅者。但在实际项目中，这些预设角色往往无法满足需求。比如你可能需要一个“客服”角色，只能看订单和用户资料但不能改文章；或者需要一个“区域经理”角色，只能管理某个分类下的文章。

通过 add_role 函数和 add_cap / remove_cap 方法，你可以完全自定义用户角色和权限体系。

首先，创建一个新角色：

add_action('init', 'create_custom_roles');
function create_custom_roles() {
    add_role('support_agent', '客服专员', array(
        'read' => true,
        'edit_shop_orders' => true,
        'view_woocommerce_reports' => false
    ));
}

但你需要注意：add_role 只应该执行一次。把它挂在 init 上虽然简单，但每次页面加载都会执行一次判断，效率较低。更好的做法是在主题激活时创建角色：

function my_theme_activate() {
    add_role('support_agent', '客服专员', array('read' => true));
}
register_activation_hook(__FILE__, 'my_theme_activate');

删除角色也很简单：remove_role('support_agent')。

更常见的情况是修改现有角色的权限。比如你想让“作者”角色拥有上传文件的权限，但实际上作者默认已经有这个权限。反过来，你想让“投稿者”也可以管理自己文章的标签，默认是不行的：

$role = get_role('contributor');
$role->add_cap('manage_categories');

如果要删除权限：

php
复制
下载 
$role = get_role('editor');
$role->remove_cap('publish_pages');

注意：权限操作不会自动清理数据库，你添加的 cap 会一直存在。如果你打算永久删除一个 cap，可以用 remove_cap。

检查权限在任何需要限制访问的地方都极其重要。在模板中：

if (current_user_can('edit_posts')) {
    echo '你可以写文章';
}

在后台 AJAX 处理函数中：

php
复制
下载 
if (!current_user_can('manage_options')) {
    wp_die('无权限');
}

current_user_can 会检查当前登录用户，如果是未登录用户则返回 false。

前端注册与登录

很多网站需要自定义的用户注册和登录页面，而不是使用默认的 /wp-login.php。你可以通过创建两个页面模板，分别放置注册表单和登录表单，然后用代码处理提交。

注册表单的核心逻辑：

$userdata = array(
    'user_login' => sanitize_user($_POST['username']),
    'user_email' => sanitize_email($_POST['email']),
    'user_pass' => wp_generate_password(12, true),
    'role' => 'subscriber'
);
$user_id = wp_insert_user($userdata);
if (!is_wp_error($user_id)) {
    wp_new_user_notification($user_id, null, 'both');
    // 自动登录
    wp_set_current_user($user_id);
    wp_set_auth_cookie($user_id);
    wp_redirect(home_url('/dashboard'));
}

登录表单的处理更简单：

$creds = array(
    'user_login' => $_POST['username'],
    'user_password' => $_POST['password'],
    'remember' => true
);
$user = wp_signon($creds, false);
if (!is_wp_error($user)) {
    wp_redirect(home_url('/dashboard'));
}

注意：自定义登录/注册页面必须做好 nonce 验证和 CSRF 防护，并且用 wp_safe_redirect 替代 wp_redirect 防止开放重定向漏洞。

当你的 WordPress 网站不再只是一个博客，而是变成本地社区、学习管理系统、内部协同平台或者电商平台时，对用户角色的精细控制就会变得至关重要。掌握这套权限体系，你就能够搭建出复杂的多人协作场景。