本文介绍如何通过 php 条件判断，实现「仅登录的当前文章作者（及管理员）可提交评论」的功能，同时保持评论内容对所有用户可见，并给出安全、可维护的代码实现与关键注意事项。
本文介绍如何通过 php 条件判断，实现「仅登录的当前文章作者（及管理员）可提交评论」的功能，同时保持评论内容对所有用户可见，并给出安全、可维护的代码实现与关键注意事项。
在 WordPress 主题开发中，有时需限制评论表单的可见性——例如在「商家回复」或「作者反馈」类场景中，仅允许文章作者（或具备高权限的管理员）提交评论，而普通访客和已登录的非作者用户则无法看到表单。这既提升了内容管理的严谨性，也避免了无关评论干扰。
实现该逻辑的核心在于：在渲染评论表单前，准确获取并比对当前登录用户的 ID 与当前文章作者的 ID。以下为推荐的完整实现方案：
✅ 正确的位置与结构
应将权限判断逻辑放在调用评论表单的模板文件中（如 single-review.php 或自定义评论模板 review-comments.php），但需注意：
- get_post() 在循环外可能返回错误的全局 $post；建议使用 get_queried_object() 或确保在主循环内执行；
- 权限检查必须包裹在 is_user_logged_in() 内，避免未登录用户触发 PHP 错误；
- 管理员应被显式豁免（current_user_can('administrator')），便于后台统一管理。
✅ 推荐代码实现（已优化）
<?php if (is_user_logged_in()) : ?><?php $current_user = wp_get_current_user();
$queried_post = get_queried_object();
// 确保是有效文章对象
if ($queried_post && isset($queried_post->post_author)) {
$post_author_id = (int) $queried_post->post_author;
$current_user_id = (int) $current_user->ID;
if ($current_user_id === $post_author_id || current_user_can('manage_options')) :
?>
<div class="commform" id="respond">
<?php comment_form([
'title_reply' => __('Reply as Author', 'escortwp'),
'comment_field' => '<p class="comment-form-comment"><textarea id="comment" name="comment" cols="45" rows="8" aria-required="true" placeholder="' . esc_attr__('Thanks dear❤️', 'escortwp') . '"></textarea></p>',
'class_submit' => 'pinkbutton commsubmitbutton rad25',
'label_submit' => __('Reply', 'escortwp'),
'logged_in_as' => '', // 隐藏已登录提示（可选）
'cancel_reply_link' => __('Cancel reply', 'escortwp'),
]); ?>
</div>
<?php endif; ?><?php endif; ?><!-- 可选：仅开发调试时启用 --><?php if (current_user_can('manage_options')) : ?><div style="font-size:12px; color:#999; margin-top:20px; padding:10px; background:#f9f9f9;">
<strong>Debug Info:</strong><br>
Current User ID: <?php echo esc_html($current_user_id ?? 'N/A'); ?><br>
Post Author ID: <?php echo esc_html($post_author_id ?? 'N/A'); ?><br>
Match: <?php echo ($current_user_id ?? 0) === ($post_author_id ?? 0) ? '✅ YES' : '❌ NO'; ?>
</div>
<?php endif; ?>
⚠️ 关键注意事项
- 不要硬编码 wp-comments-post.php 路径：直接使用 comment_form() 函数替代手动构建表单，它自动处理 nonce、action URL、隐藏字段及钩子（如 comment_form），更安全且兼容主题更新；
- 避免在页脚输出调试信息：原代码中
- 权限判断优先级：current_user_can('manage_options') 比 current_user_can('administrator') 更可靠（因角色名可能被修改，而 manage_options 是核心能力）；
- 移动端与无障碍支持：comment_form() 默认包含 aria-required 和语义化标签，手动表单需自行补全，否则影响可访问性。
✅ 总结
该方案通过精准的用户身份校验 + 官方评论 API 集成，兼顾安全性、可维护性与 WordPress 最佳实践。切勿在模板中重复造轮子——善用 comment_form()，专注业务逻辑；同时始终以 is_user_logged_in() 为第一道闸门，防止未授权访问风险。
