Cum restricționezi accesul la wp-admin pentru anumite roluri de utilizator?

Tocmai am revizuit acel răspuns deoarece nu a fost actualizat de mult timp. Anul este 2021.

Răspunsul acceptat verifică dacă pagina curentă este o pagină wp-login.php SAU o pagină de administrare ÎN TIMP CE utilizează un hook admin_init, ceea ce nu are sens.

admin_init se declanșează când un ecran sau script de administrare este inițializat. NU rulează doar pe ecranele de administrare vizibile utilizatorilor. Rulează și pe admin-ajax.php și admin-post.php.

În niciun caz nu se va declanșa pe wp-login.php deoarece acesta NU este un ecran de administrare. Totuși, se va declanșa la o cerere ajax, de aceea acest caz ar trebui gestionat. wp_doing_ajax() determină dacă cererea curentă este o cerere Ajax WordPress.

În exemplul următor folosesc capacitatea delete_posts pentru a permite accesul la backend-ul WordPress pentru admin, editor și author. Consultați Tabelul Capacități vs. Roluri pentru o abordare mai restrictivă.

Ca o reamintire, iată rolurile implicite în WordPress (Rezumatul Rolurilor):

super admin → admin → editor → author → contributor → subscriber.

Într-o instalare WordPress cu un singur site, Administratorii sunt, de fapt, Super Admini.

Am ales să folosesc wp_die() în loc să redirecționez utilizatorii orbește. wp_die() oferă un fel de onboarding pentru utilizatori deoarece oprește execuția WordPress și afișează o pagină HTML cu un mesaj de eroare. Aceeași abordare ar putea fi făcută prin redirecționarea utilizatorilor către o pagină 404. Orice ce explică situația este mai bun decât o redirecționare orbească către pagina principală.

add_action( 'admin_init', 'restrict_wpadmin_access' );
if ( ! function_exists( 'restrict_wpadmin_access' ) ) {
    function restrict_wpadmin_access() {
        if ( wp_doing_ajax() || current_user_can( 'delete_posts' ) ) {
            return;
        } else {
            header( 'Refresh: 2; ' . esc_url( home_url() ) );
            $args = array(
                'back_link' => true,
            );
            wp_die( 'Acces restricționat.', 'Eroare', $args );
        };
    };
};

Pentru a preveni redirecționarea implicită către wp-admin.php după autentificare, folosesc filtrul hook login_redirect care filtrează URL-ul de redirecționare la autentificare. Îi redirecționez către propria pagină de profil folosind get_author_posts_url(), dar puteți redirecționa ușor către orice pagină doriți. De asemenea, puteți redirecționa condiționat în funcție de rolul utilizatorului (de ex: admin către pagina de administrare, restul către profil), totul este explicat în secțiunea de exemplu din pagina CODEX.

add_filter( 'login_redirect', 'redirect_user_to_profile_on_login', 10, 3 );
if ( ! function_exists( 'redirect_user_to_profile_on_login' ) ) {
    function redirect_user_to_profile_on_login( $redirect_to, $requested_redirect_to, $user ) {
        if ( $user && is_object( $user ) && is_a( $user, 'WP_User' ) ) {
            $redirect_to = esc_url( get_author_posts_url( $user->ID ) );
        };
        return $redirect_to;
    };
};

Răspunsul acceptat menționează Rolul Utilizatorului, dar de fapt utilizează funcția pentru Capabilitatea Utilizatorului.

Iată soluția pentru Rolurile Utilizatorilor:

 function wpse66094_no_admin_access() {
    $redirect = isset( $_SERVER['HTTP_REFERER'] ) ? $_SERVER['HTTP_REFERER'] : home_url( '/' );
    global $current_user;
    $user_roles = $current_user->roles;
    $user_role = array_shift($user_roles);
    if($user_role === 'ROLUL_TAU_DE_UTILIZATOR_AICI'){
        exit( wp_redirect( $redirect ) );
    }
 }

add_action( 'admin_init', 'wpse66094_no_admin_access', 100 );

Bazat pe răspunsul oferit de @kaiser (mulțumesc, apropo), acesta este codul meu funcțional, în caz că cineva are nevoie de el. Acesta este plasat în fișierul functions.php.

Condiția utilizată este dacă utilizatorul nu poate manage_options sau edit_posts.

function wpse66093_no_admin_access() {
    $redirect = home_url( '/' );
    if ( ! ( current_user_can( 'manage_options' ) || current_user_can( 'edit_posts' ) ) )
        exit( wp_redirect( $redirect ) );
}
add_action( 'admin_init', 'wpse66093_no_admin_access', 100 );

Cu răspunsul lui @kaiser am aflat că va trebui să folosești hook-ul admin_menu în loc de admin_init, deoarece acesta se declanșează înainte de verificarea !user_can_access_admin_page() din wp-admin/includes/menu.php. Altfel, dacă utilizatorul nu are acces 'read' la panoul de control, va primi doar pagina 'Nu aveți permisiuni suficiente pentru a accesa această pagină.' în loc să fie redirecționat.

Dacă eliminați capabilitatea read din Rol, utilizatorul nu va mai putea accesa panoul de control. Acesta va primi următoarea eroare:

Nu aveți permisiunile necesare pentru a accesa această pagină de administrare.

Motiv: Utilizatorul curent nu posedă capabilitatea "read" care este necesară pentru a accesa elementul de meniu "Panou de control".

Referință: https://codex.wordpress.org/Roles_and_Capabilities#read