本文介绍如何通过自定义能力（capability）和 `user_has_cap` 钩子，实现 wordpress 中“仅允许用户编辑自己上传的媒体文件”的精细化权限控制，弥补原生 `upload_files` 能力范围过宽的不足。
在 WordPress 默认权限体系中，upload_files 是一个全局性能力——一旦赋予某用户该能力，即可访问并编辑所有媒体库中的附件（包括他人上传的图片、PDF 等），这在多作者协作或客户后台场景中存在明显安全与管理风险。WordPress 并未内置类似 edit_own_files 的细粒度能力，但可通过扩展角色系统与动态权限校验实现精准控制。
✅ 实现步骤概览
- 注册自定义能力：为指定角色添加专属能力（如 edit_own_files）；
- 拦截权限判断：利用 user_has_cap 过滤器，在用户尝试执行编辑操作（如访问 /wp-admin/post.php?post=123&action=edit）时，动态校验当前附件是否由该用户上传；
- 关联附件作者：WordPress 媒体文件本质是 attachment 类型的 post，其 post_author 字段即上传者 ID，这是关键判断依据。
? 代码实现示例
将以下代码添加至主题的 functions.php 文件或专用插件中：
// 1. 注册自定义能力（建议在插件激活时执行一次）
function add_edit_own_files_capability() {
$editor_role = get_role('editor'); // 或自定义角色，如 'client'
if ($editor_role) {
$editor_role->add_cap('edit_own_files');
}
}
register_activation_hook(__FILE__, 'add_edit_own_files_capability');
// 2. 动态校验编辑权限
add_filter('user_has_cap', 'restrict_attachment_editing', 10, 4);
function restrict_attachment_editing($allcaps, $cap, $args, $user) {
// 仅处理 attachment 编辑相关能力
if (!in_array($cap[0], ['edit_post', 'edit_attachment', 'delete_post', 'delete_attachment'])) {
return $allcaps;
}
$post_id = (int) $args[2] ?? 0;
if (!$post_id || get_post_type($post_id) !== 'attachment') {
return $allcaps;
}
$attachment = get_post($post_id);
if (!$attachment || $attachment->post_author !== $user->ID) {
// 拒绝非本人上传附件的编辑/删除权限
$allcaps[$cap[0]] = false;
}
return $allcaps;
}⚠️ 注意事项： 此方案不阻止用户在媒体库列表页看到他人文件（仅隐藏编辑入口需配合 pre_get_posts 进一步过滤）； 若需彻底隐藏非本人文件，可追加 pre_get_posts 钩子限制 WP_Query； user_has_cap 的 $args 数组结构为 [ $capability, $granted, $user_id, $args... ]，其中 $args[2] 通常为目标 post ID（以 edit_post 为例），但不同操作略有差异，建议开启 error_log(print_r($args, true)) 进行调试； 建议搭配 map_meta_cap 过滤器统一映射自定义能力逻辑，提升可维护性。
✅ 效果验证
- 用户 A 上传一张图片（ID=1001），可正常进入 /wp-admin/post.php?post=1001&action=edit 编辑；
- 尝试访问用户 B 上传的图片（ID=1002）编辑页时，将触发 403 权限拒绝（或跳转至无权限提示页）；
- 后台媒体库中，所有附件仍可见（如需隐藏，请额外过滤 WP_Query）。
通过上述方式，你无需依赖第三方插件，即可在 WordPress 原生框架下构建符合实际业务需求的最小权限模型——真正实现“我的文件我做主”。
