¿Cómo evitar el acceso a wp-admin para ciertos roles de usuario?

Acabo de revisar esa respuesta ya que no se actualizaba desde hace mucho tiempo. El año es 2021.

La respuesta aceptada verifica si la página actual es una página wp-login.php O una página de administración MIENTRAS se usa un hook admin_init, lo cual no tiene sentido.

admin_init se dispara cuando se inicializa una pantalla o script de administración. NO solo se ejecuta en pantallas de administración orientadas al usuario. También se ejecuta en admin-ajax.php y admin-post.php.

En ningún caso se disparará en un wp-login.php ya que NO es una pantalla de administración. Sin embargo, sí se disparará en una solicitud ajax, por lo que ese caso debe manejarse. wp_doing_ajax() determina si la solicitud actual es una solicitud Ajax de WordPress.

En el siguiente ejemplo, estoy usando la capacidad de usuario delete_posts para permitir el acceso al backend de WordPress a los roles de admin, editor y author. Consulta la Tabla de Capacidades vs. Roles para un enfoque más restrictivo.

Como recordatorio, aquí están los roles predeterminados de WordPress (Resumen de Roles):

super admin → admin → editor → author → contributor → subscriber.

En una instalación de WordPress de un solo sitio, los Administradores son, en efecto, Super Admins.

He elegido usar wp_die() en lugar de redirigir ciegamente a los usuarios. wp_die() ofrece un tipo de orientación al usuario, ya que detiene la ejecución de WordPress y muestra una página HTML con un mensaje de error. El mismo enfoque podría hacerse redirigiendo a los usuarios a una página 404. Cualquier cosa que explique la situación es mejor que una redirección ciega a la página de inicio.

add_action( 'admin_init', 'restrict_wpadmin_access' );
if ( ! function_exists( 'restrict_wpadmin_access' ) ) {
    function restrict_wpadmin_access() {
        if ( wp_doing_ajax() || current_user_can( 'delete_posts' ) ) {
            return;
        } else {
            header( 'Refresh: 2; ' . esc_url( home_url() ) );
            $args = array(
                'back_link' => true,
            );
            wp_die( 'Acceso restringido.', 'Error', $args );
        };
    };
};

Para evitar la redirección predeterminada a wp-admin.php después del inicio de sesión, estoy usando el filtro de hook login_redirect, que filtra la URL de redirección de inicio de sesión. Los estoy redirigiendo a su propia página de perfil usando get_author_posts_url(), pero puedes redirigir fácilmente a cualquier página que desees. También podrías redirigir condicionalmente según el rol del usuario (por ejemplo: admin a la página de administración, el resto al perfil), todo está explicado en la sección de ejemplos de la página CODEX.

add_filter( 'login_redirect', 'redirect_user_to_profile_on_login', 10, 3 );
if ( ! function_exists( 'redirect_user_to_profile_on_login' ) ) {
    function redirect_user_to_profile_on_login( $redirect_to, $requested_redirect_to, $user ) {
        if ( $user && is_object( $user ) && is_a( $user, 'WP_User' ) ) {
            $redirect_to = esc_url( get_author_posts_url( $user->ID ) );
        };
        return $redirect_to;
    };
};

La respuesta aceptada menciona User Role pero en realidad utiliza la función para User Capability.

Aquí está la solución para User Roles:

 function wpse66094_no_admin_access() {
    $redirect = isset( $_SERVER['HTTP_REFERER'] ) ? $_SERVER['HTTP_REFERER'] : home_url( '/' );
    global $current_user;
    $user_roles = $current_user->roles;
    $user_role = array_shift($user_roles);
    if($user_role === 'YOUR_USER_ROLE_HERE'){
        exit( wp_redirect( $redirect ) );
    }
 }

add_action( 'admin_init', 'wpse66094_no_admin_access', 100 );

Basado en la respuesta proporcionada por @kaiser (gracias por cierto), este es mi código funcional, por si alguien lo necesita. Se coloca en el archivo functions.php.

La condición utilizada es si el usuario no puede manage_options o edit_posts.

function wpse66093_no_admin_access() {
    $redirect = home_url( '/' );
    if ( ! ( current_user_can( 'manage_options' ) || current_user_can( 'edit_posts' ) ) )
        exit( wp_redirect( $redirect ) );
}
add_action( 'admin_init', 'wpse66093_no_admin_access', 100 );

Con la respuesta de @kaiser descubrí que necesitarás utilizar el hook admin_menu en lugar de admin_init, ya que se dispara antes de la verificación !user_can_access_admin_page() en wp-admin/includes/menu.php. De lo contrario, si el usuario no tiene acceso de 'lectura' al escritorio, simplemente obtendrá la página 'No tienes permisos suficientes para acceder a esta página.' en lugar de ser redirigido.

Si eliminas la capacidad read del Rol, el usuario no podrá acceder al panel de control. Recibirá el siguiente error:

No tienes permisos suficientes para acceder a esta página de administración.

Razón: El usuario actual no tiene la capacidad "read" que es requerida para acceder al elemento de menú "Escritorio".

Ref: https://codex.wordpress.org/Roles_and_Capabilities#read