user_has_cap │ хук-фільтр │ WP 2.0.0

Зазвичай права ролям виставляються під час реєстрації ролі, а додаткові права окремим користувачам можна додати з допомогою плагіна User Role Editor . Однак у цьому випадку дані додаються до Бази даних, але це завжди зручно – іноді потрібна динаміка.

Іноді зручніше виставляти права на роль нальоту. Наприклад на новому проекті, де права постійно додаються/видаляються в міру зростання проекту і оновлювати права в базі незручно. А тут, вніс редагування в код і відразу результат.

Розглянемо, як це зробити через хук user_has_cap на простому прикладі. Він показує, як додати право some_capabilityкористувачеві з ID 5:

add_filter( 'user_has_cap', 'maybe_grant_some_capability_cap', 1, 4);

function maybe_grant_some_capability_cap( $allcaps, $caps, $args, $user ){

	if ( 5 === $user->ID ) {
		$allcaps['some_capability'] = true;
	}

	return $allcaps;
}

Розглянемо ще один приклад складніше. Цей приклад перевірять роль поточного користувача і додає нові права (можливості) до списку прав користувача, залежно від поточної ролі користувача (назва ролі користувача зберігається у загальному списку прав пользователя).

add_filter( 'user_has_cap', 'kama_user_has_cap', 10, 4);

/**
 * Змінює можливості ролей "на льоту".
 *
 * @param array $allcaps
 * @param array $caps
 * @param array $args
 * @param WP_User $user
 *
 * @return array
 */
function kama_user_has_cap( $allcaps, $caps, $args, $user ) {

	// Трекер (непідтверджений)
	$role = 'project_tracker_fake';
	if ( ! empty( $allcaps[ $role ] ) ) {
		// WordPress
		$allcaps['read'] = true;
	}

	// Керівник
	$role = 'project_leader';
	if ( ! empty( $allcaps[ $role ] ) ) {
		// WordPress
		$allcaps['read'] = true;
		$allcaps['edit_posts'] = true;
		$allcaps['edit_published_posts'] = true;

		// + Експерт
		$allcaps['view_expert_note'] = true; // Бачити метабокс Експерта
		$allcaps['view_expert_comment'] = true; // Бачити коментар Експерта

		// + Модератор
		$allcaps['view_moderator_note'] = true; // Бачити метабокс Модератора
	}

	// Трекер
	$role = 'project_tracker';
	if ( ! empty( $allcaps[ $role ] ) ) {
		// WordPress
		$allcaps['read'] = true;
		$allcaps['edit_posts'] = true;
		$allcaps['edit_published_posts'] = true;

		// Загальне
		$allcaps['view_post_contacts'] = true; // Бачити метабокс із контактами

		// + Експерт
		$allcaps['view_expert_note'] = true; // Бачити метабокс Експерта
		$allcaps['view_expert_comment'] = true; // Бачити коментар Експерта
		$allcaps['view_expert_rating'] = true; // Бачити оцінку Експерта

		// + Модератор
		$allcaps['view_moderator_note'] = true; // Бачити метабокс Модератора
	}

	// Експерт
	$role = 'project_expert';
	if ( ! empty( $allcaps[ $role ] ) ) {
		// WordPress
		$allcaps['read'] = true;
		$allcaps['edit_posts'] = true;
		$allcaps['delete_others_posts'] = false;
		$allcaps['edit_others_posts'] = true;

		// Загальне
		$allcaps['view_post_contacts'] = true; // Бачити метабокс із контактами

		// + Модератор
		$allcaps['view_moderator_note'] = true; // Бачити метабокс Модератора

		// Особисте
		$allcaps['view_expert_note'] = true; // Бачити метабокс Експерта
		$allcaps['view_expert_comment'] = true; // Бачити коментар Експерта
		$allcaps['view_expert_rating'] = true; // Бачити оцінку Експерта
		$allcaps['add_expert_note'] = true; // Змінювати метабокс Експерта
		$allcaps['add_expert_comment'] = true; // Змінювати коментар Експерта
		$allcaps['add_expert_rating'] = true; // Змінювати оцінку Експерта
	}

	return $allcaps;
}

Тепер можна перевірити, наприклад можливість add_expert_rating у користувача так:

if( current_user_can('add_expert_rating') ){
	echo 'Право є.';
}

Припустимо, у нас такий випадок, що на фронті неавторизовані користувачі можуть оновлювати якісь конкретні дані посту, наприклад, додавати мітки до нього. Для оновлення посту ми використовуємо функцію wp_update_post() .

За умовчанням ВП не дозволить це зробити неавторизованому користувачеві, але нам потрібно надати таке право. Для цього вішаємо функцію на хук user_has_capі функції додаємо право редагувати пост.

Ми не боїмося що, користувач якось зможе нашкодити, тому що ми самі встановлюємо поля, які потрібно оновити для посту і попередньо їх очищаємо.

Наприклад, на запит аякс ми приймаємо назву елемента таксономії і хочемо додати його для посту:

// ... тут код отримання GET/POST даних

// дозволяємо будь-якому користувачеві оновлювати будь-які пости (зокрема наш)
add_filter( 'user_has_cap', 'add_editor_cap_for_unauthorizes_user' );

function add_editor_cap_hb( $allcaps ){

	$allcaps['edit_posts'] = true;

	return $allcaps;
}

$post_data = [
	'ID' => 654,
	'tax_input' = [
		'tax_name' => [ 'Term Name' ],
	],
];

// оновлюємо
wp_update_post(wp_slash($post_data));

// скасовуємо дозвіл
remove_filter( 'user_has_cap', 'add_editor_cap_for_unauthorizes_user' );

// ... якийсь ще код