Как запретить доступ к wp-admin для определенных ролей пользователей?

Недавно пересмотрел этот ответ, так как он давно не обновлялся. Сейчас 2021 год.

Принятый ответ проверяет, является ли текущая страница страницей wp-login.php ИЛИ административной страницей ВО ВРЕМЯ использования хука admin_init, что бессмысленно.

admin_init срабатывает при инициализации административного экрана или скрипта. Он НЕ работает только на пользовательских административных экранах. Он также запускается на admin-ajax.php и admin-post.php.

Ни в коем случае он не сработает на wp-login.php, так как это НЕ административный экран. Хотя он действительно сработает при AJAX-запросе, поэтому этот случай нужно обрабатывать. wp_doing_ajax() определяет, является ли текущий запрос AJAX-запросом WordPress.

В следующем примере я использую пользовательскую способность delete_posts, чтобы разрешить доступ к бэкенду WordPress для ролей admin, editor и author. Для более строгого подхода обратитесь к Таблице возможностей и ролей.

Напоминание о стандартных ролях WordPress (Сводка ролей):

супер администратор → администратор → редактор → автор → участник → подписчик.

В однопользовательской установке WordPress администраторы фактически являются супер администраторами.

Я выбрал использование wp_die() вместо простого перенаправления пользователей. wp_die() предоставляет своего рода пользовательское сопровождение, так как останавливает выполнение WordPress и отображает HTML-страницу с сообщением об ошибке. Такой же подход можно реализовать с перенаправлением пользователей на страницу 404. Любое объяснение ситуации лучше, чем слепое перенаправление на домашнюю страницу.

add_action( 'admin_init', 'restrict_wpadmin_access' );
if ( ! function_exists( 'restrict_wpadmin_access' ) ) {
    function restrict_wpadmin_access() {
        if ( wp_doing_ajax() || current_user_can( 'delete_posts' ) ) {
            return;
        } else {
            header( 'Refresh: 2; ' . esc_url( home_url() ) );
            $args = array(
                'back_link' => true,
            );
            wp_die( 'Доступ запрещён.', 'Ошибка', $args );
        };
    };
};

Чтобы предотвратить стандартное перенаправление на wp-admin.php после входа, я использую фильтр хука login_redirect, который фильтрует URL перенаправления при входе. Я перенаправляю пользователей на их собственную страницу профиля, используя get_author_posts_url(), но вы можете легко перенаправить на любую страницу. Вы также можете условно перенаправлять в зависимости от роли пользователя (например, администраторов на административную страницу, остальных на профиль), всё объяснено в разделе примеров на странице CODEX.

add_filter( 'login_redirect', 'redirect_user_to_profile_on_login', 10, 3 );
if ( ! function_exists( 'redirect_user_to_profile_on_login' ) ) {
    function redirect_user_to_profile_on_login( $redirect_to, $requested_redirect_to, $user ) {
        if ( $user && is_object( $user ) && is_a( $user, 'WP_User' ) ) {
            $redirect_to = esc_url( get_author_posts_url( $user->ID ) );
        };
        return $redirect_to;
    };
};

Принятый ответ упоминает Роль пользователя, но фактически использует функцию для Возможности пользователя.

Вот решение для Ролей пользователя:

 function wpse66094_no_admin_access() {
    $redirect = isset( $_SERVER['HTTP_REFERER'] ) ? $_SERVER['HTTP_REFERER'] : home_url( '/' );
    global $current_user;
    $user_roles = $current_user->roles;
    $user_role = array_shift($user_roles);
    if($user_role === 'YOUR_USER_ROLE_HERE'){
        exit( wp_redirect( $redirect ) );
    }
 }

add_action( 'admin_init', 'wpse66094_no_admin_access', 100 );

На основе ответа, предоставленного @kaiser (спасибо, кстати), вот мой рабочий код, на случай, если кому-то он понадобится. Код размещается в файле functions.php.

Условие таково: если пользователь не может manage_options или edit_posts.

function wpse66093_no_admin_access() {
    $redirect = home_url( '/' );
    if ( ! ( current_user_can( 'manage_options' ) || current_user_can( 'edit_posts' ) ) )
        exit( wp_redirect( $redirect ) );
}
add_action( 'admin_init', 'wpse66093_no_admin_access', 100 );

Используя ответ @kaiser, я обнаружил, что вам нужно использовать хук admin_menu вместо admin_init, так как он срабатывает до проверки !user_can_access_admin_page() в wp-admin/includes/menu.php. В противном случае, если пользователь не имеет доступа 'read' к панели управления, он просто получит страницу с сообщением 'У вас недостаточно прав для доступа к этой странице.' вместо перенаправления.

Если удалить возможность read у роли, пользователь не сможет получить доступ к консоли. Он увидит следующую ошибку:

У вас недостаточно прав для доступа к этой странице админки.

Причина: текущий пользователь не имеет возможности "read", которая требуется для доступа к пункту меню "Консоль".

Ссылка: https://codex.wordpress.org/Roles_and_Capabilities#read