在
WordPress 网站开发中，
用户权限管理是保障系统安全与高效运营的核心环节。默认情况下，WordPress 提供了多套用户角色及对应权限，但在实际场景中，我们往往需要根据业务需求创建
自定义角色，并实现严格的层级管理 —— 让高等级角色能管理低等级角色，而低等级角色无法越权操作。本文将结合实际案例，详解如何通过代码实现这一功能。
以实体店铺会员系统为例，我们需要在 WordPress 中新增三个自定义角色，形成明确的层级关系：
- 经理：可管理主管和店员
- 主管：仅可管理店员
- 店员：无用户管理权限
同时，系统需严格限制：经理不能管理管理员（最高级别），主管不能管理经理和管理员，且所有角色都无法通过 URL 参数等方式绕过权限限制。
首先需为新增角色赋予用户管理的基础权限，注意根据角色层级控制权限范围：
通过editable_roles钩子，控制不同角色在编辑用户时能看到的角色选项，避免越权分配角色：
使用users_list_table_query_args钩子，确保不同角色只能看到自己有权管理的用户：
function bzg_users_list_table_query_args($args) {
global $current_user;
$role = $current_user->roles[0];
// 根据角色定义可查看的用户角色范围
switch($role) {
case 'administrator' :
$roles = ['administrator', 'manager', 'charge', 'sales'];
break;
case 'manager' :
$roles = ['charge', 'sales']; // 经理可见主管和店员
break;
case 'charge' :
$roles = ['sales']; // 主管仅可见店员
break;
default:
$roles = ['sales'];
}
$args['role__in'] = $roles;
return $args;
}
add_filter('users_list_table_query_args', 'bzg_users_list_table_query_args', 10, 1);
为避免误导，通过views_users钩子隐藏角色无权查看的用户统计信息（如管理员数量、全部用户数等）：
即使做了前端限制，仍需防止用户通过直接传递用户 ID（如user_id=1）访问后台页面。通过user_has_cap钩子可实现权限的终极校验：
配合角色等级对比函数，明确各角色的权限层级：
通过上述钩子与函数的组合，我们实现了 WordPress 中用户角色的层级化管理：高等级角色仅能管理低等级角色，且通过多维度的权限校验（包括界面显示、数据查询、操作权限），彻底杜绝越权操作的可能。这种方案不仅适用于店铺管理系统，还可灵活调整角色与权限，应用于企业官网、多作者博客等多种场景，为 WordPress 网站的安全运营提供坚实保障。
联盟
