本文介绍如何通过权限控制和查询过滤，确保自定义文章类型（如 userproject）仅对已登录的订阅者（subscriber）可见，而对管理员、编辑等其他角色及未登录用户不可见。
本文介绍如何通过权限控制和查询过滤，确保自定义文章类型（如 userproject）仅对已登录的订阅者（subscriber）可见，而对管理员、编辑等其他角色及未登录用户不可见。
在 WordPress 中，默认的 register_post_type() 并不提供“按用户角色限制前台可见性”的内置参数；public => true 仅表示该类型可被公开访问（如归档页、单页），但不等于对所有用户开放。要实现“仅 subscriber 可见”，需从两个层面协同控制：
✅ 1. 后台注册时限制管理权限（防止非 subscriber 进入编辑界面）
修改你的 create_posttype() 函数，使用 'capability_type' 和 'map_meta_cap' 配合角色能力映射，并显式设置 'show_in_menu' 和 'show_in_admin_bar' 为 false（避免非授权用户看到菜单）：
function create_posttype() {
$labels = array(
'name' => __( 'UserProjects', 'textdomain' ),
'singular_name' => __( 'UserProject', 'textdomain' ),
'add_new' => __( 'Add New', 'textdomain' ),
'add_new_item' => __( 'Add New UserProject', 'textdomain' ),
'edit_item' => __( 'Edit UserProject', 'textdomain' ),
'new_item' => __( 'New UserProject', 'textdomain' ),
'view_item' => __( 'View UserProject', 'textdomain' ),
'search_items' => __( 'Search UserProjects', 'textdomain' ),
'not_found' => __( 'No UserProjects found', 'textdomain' ),
'not_found_in_trash' => __( 'No UserProjects found in Trash', 'textdomain' ),
);
$args = array(
'labels' => $labels,
'public' => true,
'has_archive' => true,
'rewrite' => array( 'slug' => 'userproject' ), // 建议小写+短横线，符合 WordPress 规范
'show_in_rest' => true,
'capability_type' => 'post', // 复用 post 的能力体系（更安全）
'map_meta_cap' => true,
'show_in_menu' => current_user_can( 'subscriber' ) ? 'edit.php?post_type=userproject' : false,
'show_in_admin_bar' => current_user_can( 'subscriber' ),
'supports' => array( 'title', 'editor', 'author', 'excerpt', 'thumbnail' ),
);
register_post_type( 'userproject', $args );
}
add_action( 'init', 'create_posttype' );
⚠️ 注意：current_user_can() 在 init 钩子中调用可能无效（因为此时用户会话尚未完全初始化）。因此，不建议在 register_post_type() 参数中直接依赖 current_user_can() 控制注册逻辑——它更适合用于前端显示/查询控制。
✅ 2. 前台查询过滤：仅 subscriber 可查看列表与详情页
在主题的 functions.php 或插件中，添加以下逻辑，拦截主查询（main query），确保非 subscriber 用户访问 /userproject/ 或单个 UserProject 页面时返回 404 或重定向：
// 前台：限制 archive 和 single 页面访问
function restrict_userproject_access( $query ) {
if ( ! is_admin() && $query->is_main_query() ) {
// 拦截 UserProject 归档页（如 /userproject/）
if ( $query->is_post_type_archive( 'userproject' ) || $query->is_tax( 'userproject_category' ) ) {
if ( ! is_user_logged_in() || ! current_user_can( 'subscriber' ) ) {
$query->set_404();
return;
}
}
// 拦截 UserProject 单篇文章页（如 /userproject/my-project/）
if ( $query->is_singular( 'userproject' ) ) {
if ( ! is_user_logged_in() || ! current_user_can( 'subscriber' ) ) {
$query->set_404();
return;
}
}
}
}
add_action( 'pre_get_posts', 'restrict_userproject_access' );
✅ 3. （可选）增强安全性：隐藏 RSS、REST API 和搜索结果
-
禁用 REST API 访问（防止未授权获取数据）：
function disable_userproject_rest_api( $args, $post_type ) { if ( 'userproject' === $post_type ) { $args['show_in_rest'] = false; // 或设为 true 但配合权限过滤 } return $args; } add_filter( 'register_post_type_args', 'disable_userproject_rest_api', 10, 2 ); -
排除搜索结果：
function exclude_userproject_from_search( $query ) { if ( ! is_admin() && $query->is_search() && $query->is_main_query() ) { $query->set( 'post_type', array_diff( (array) $query->get( 'post_type' ), array( 'userproject' ) ) ); } } add_action( 'pre_get_posts', 'exclude_userproject_from_search' );
✅ 总结与最佳实践
- ❌ 不要依赖 init 钩子中的 current_user_can() 控制 register_post_type() 是否执行（时机过早，不可靠）；
- ✅ 使用 pre_get_posts 在查询阶段动态拦截，是安全、标准且推荐的做法；
- ✅ 所有前端入口（归档、单页、搜索、REST API）均需统一校验 is_user_logged_in() && current_user_can('subscriber')；
- ✅ 自定义文章类型名称建议使用小写加短横线（如 userproject），避免驼峰命名（UserProject），提升兼容性；
- ? 如需更高安全性（如仅作者查看自己的项目），可在查询中追加 author => get_current_user_id() 条件。
通过以上三步，即可精准实现「UserProject 仅对订阅者用户可见」的目标，兼顾用户体验与系统安全。
