Come impedire l'accesso a wp-admin per determinati ruoli utente?

Ho rivisitato quella risposta poiché non era aggiornata da molto tempo. L'anno è il 2021.

La risposta accettata controlla se la pagina corrente è una pagina wp-login.php OPPURE una pagina di amministrazione MENTRE utilizza un hook admin_init, il che non ha senso.

admin_init viene attivato quando una schermata o script di amministrazione viene inizializzato. NON viene eseguito solo sulle schermate di amministrazione visibili agli utenti. Viene eseguito anche su admin-ajax.php e admin-post.php.

In nessun caso verrà attivato su wp-login.php poiché NON è una schermata di amministrazione. Tuttavia, verrà attivato su una richiesta ajax, quindi quel caso dovrebbe essere gestito. wp_doing_ajax() determina se la richiesta corrente è una richiesta Ajax di WordPress.

Nell'esempio seguente utilizzo la capacità utente delete_posts per consentire l'accesso al backend di WordPress a admin, editor e author. Per un approccio più restrittivo, consulta la Tabella Capacità vs. Ruoli.

Come promemoria, ecco i ruoli predefiniti di WordPress (Riassunto dei Ruoli):

super admin → admin → editor → author → contributor → subscriber.

Con un'installazione WordPress a singolo sito, gli Amministratori sono, in effetti, Super Amministratori.

Ho scelto di utilizzare wp_die() invece di reindirizzare ciecamente gli utenti. wp_die() offre una sorta di onboarding per l'utente poiché interrompe l'esecuzione di WordPress e visualizza una pagina HTML con un messaggio di errore. Lo stesso approccio potrebbe essere fatto reindirizzando gli utenti a una pagina 404. Qualsiasi cosa che spieghi la situazione è meglio di un reindirizzamento cieco alla home page.

add_action( 'admin_init', 'restrict_wpadmin_access' );
if ( ! function_exists( 'restrict_wpadmin_access' ) ) {
    function restrict_wpadmin_access() {
        if ( wp_doing_ajax() || current_user_can( 'delete_posts' ) ) {
            return;
        } else {
            header( 'Refresh: 2; ' . esc_url( home_url() ) );
            $args = array(
                'back_link' => true,
            );
            wp_die( 'Accesso limitato.', 'Errore', $args );
        };
    };
};

Per prevenire il reindirizzamento predefinito a wp-admin.php dopo il login, utilizzo il filtro hook login_redirect che filtra l'URL di reindirizzamento al login. Li reindirizzo alla loro pagina del profilo utilizzando get_author_posts_url(), ma puoi facilmente reindirizzare a qualsiasi pagina desideri. Potresti anche reindirizzare in modo condizionale in base al ruolo dell'utente (es: admin alla pagina di amministrazione, gli altri al profilo), tutto è spiegato nella sezione degli esempi della pagina CODEX.

add_filter( 'login_redirect', 'redirect_user_to_profile_on_login', 10, 3 );
if ( ! function_exists( 'redirect_user_to_profile_on_login' ) ) {
    function redirect_user_to_profile_on_login( $redirect_to, $requested_redirect_to, $user ) {
        if ( $user && is_object( $user ) && is_a( $user, 'WP_User' ) ) {
            $redirect_to = esc_url( get_author_posts_url( $user->ID ) );
        };
        return $redirect_to;
    };
};

La risposta accettata menziona User Role ma in realtà utilizza la funzione per User Capability.

Ecco la soluzione per User Roles:

function wpse66094_no_admin_access() {
    $redirect = isset( $_SERVER['HTTP_REFERER'] ) ? $_SERVER['HTTP_REFERER'] : home_url( '/' );
    global $current_user;
    $user_roles = $current_user->roles;
    $user_role = array_shift($user_roles);
    if($user_role === 'YOUR_USER_ROLE_HERE'){
        exit( wp_redirect( $redirect ) );
    }
}

add_action( 'admin_init', 'wpse66094_no_admin_access', 100 );

Basandosi sulla risposta fornita da @kaiser (grazie comunque), questo è il mio codice funzionante, nel caso qualcuno ne avesse bisogno. Va inserito nel file functions.php.

La condizione utilizzata è se l'utente non può manage_options o edit_posts.

function wpse66093_no_admin_access() {
    $redirect = home_url( '/' );
    if ( ! ( current_user_can( 'manage_options' ) || current_user_can( 'edit_posts' ) ) )
        exit( wp_redirect( $redirect ) );
}
add_action( 'admin_init', 'wpse66093_no_admin_access', 100 );

Con la risposta di @kaiser ho scoperto che è necessario utilizzare l'hook admin_menu invece di admin_init, poiché viene eseguito prima del controllo !user_can_access_admin_page() in wp-admin/includes/menu.php. Altrimenti, se l'utente non ha accesso 'read' alla dashboard, otterrà semplicemente la pagina 'Non disponi delle autorizzazioni sufficienti per accedere a questa pagina.' invece di essere reindirizzato.

Se rimuovi la capacità read dal ruolo, l'utente non sarà in grado di accedere alla dashboard. Riceverà il seguente errore:

Non hai i permessi sufficienti per accedere a questa pagina di amministrazione.

Motivo: l'utente corrente non dispone della capacità "read" richiesta per accedere alla voce di menu "Dashboard".

Rif: https://codex.wordpress.org/Roles_and_Capabilities#read