你是否曾经给团队成员或外包人员直接分配了 WordPress 网站的管理员（Administrator）权限？这是最省事的做法，但好比把整栋房子的钥匙都给了别人，而对方只需要用一下车库。
更安全的方式其实已经内置在 WordPress 中。用户角色和权限让你能精确控制每个人能做什么——无论是写文章、修改设置，还是处理客户订单。
在这篇初学者指南中，猫哥将逐一讲解每个 WordPress 用户角色及其权限，并教你如何自定义角色以满足团队需求。
本文涵盖以下内容：
- 什么是 WordPress 用户角色和权限？
- 如何为 WordPress 添加新用户并分配正确角色
- 如何自定义 WordPress 角色与权限
- 如何创建自定义 WordPress 用户角色
- 多作者站点的 WordPress 安全与用户角色最佳实践
- 常见问题解答
什么是 WordPress 用户角色和权限？
在 WordPress 中，用户角色是一组权限的集合，这些权限决定了用户可以在你的网站上执行哪些操作。分配一个角色就等于给了对方一套预设的“可操作范围”。
WordPress 自带了以下用户角色：
- 订阅者（Subscriber） – 只能管理自己的个人资料和阅读内容，无法对网站进行任何修改。这是新用户注册和会员站点的默认角色。
- 投稿者（Contributor） – 可以撰写文章并保存为草稿供审核，但不能发布文章、上传媒体文件或编辑已发布的内容。适合客座博主。
- 作者（Author） – 可以撰写、上传媒体并发布自己的文章，也能删除自己已发布的内容，但不能编辑他人的内容或管理评论。适合可信赖的撰稿人。
- 编辑（Editor） – 可以发布、编辑和删除网站上的任何文章或页面，包括他人创建的内容；还能管理评论、分类和标签，但不能安装插件、修改设置或管理用户账户。适合总编辑角色。
- 管理员（Administrator） – 拥有单个 WordPress 网站的全部控制权，包括插件、主题、设置和用户账户。仅限网站所有者或完全信任的人使用。
- 超级管理员（Super Admin，仅多站点） – 对 WordPress 多站点网络中的所有网站拥有完全控制权，包括插件、主题和用户管理。适用于整个网络的管理者。
猫哥建议：始终选择满足需求的最低权限。例如，不要轻易给新用户编辑或管理员角色，除非确实需要。
WordPress 插件添加的自定义用户角色
除了内置角色，一些流行的 WordPress 插件还会添加自己的角色和权限：
- WooCommerce – 添加“客户”角色（注册账户的购物者）和“商店管理员”角色（可管理商店但无需管理员权限）。
- 会员插件 – 如 MemberPress 等，添加会员等级，付费会员可访问受保护内容但无编辑权限。
- SEO 插件 – 如 AIOSEO 或 Yoast，添加“SEO 管理员”和“SEO 编辑”角色，让你可以委托 SEO 工作而不必给完全权限。更多 SEO 优化技巧请参考猫哥的 GEO SEO 优化指南。
如何为 WordPress 添加新用户并分配正确角色
首先，进入 WordPress 后台的 用户 → 添加新用户，输入用户名、邮箱和姓名。你可以自己设置密码，或让 WordPress 自动生成一个安全密码。
然后，向下滚动到“角色”下拉菜单，选择适当的用户角色，点击“添加新用户”。
WordPress 会向新用户发送一封邮件，内含设置密码的链接和登录网站的链接。
注意：以上步骤仅适用于你手动添加的用户。如果你开启了开放注册，则任何注册的人都会获得 设置 → 常规 中“新用户默认角色”所设置的角色。建议保持为“订阅者”，这样开放注册表单永远不会让陌生人获得更高权限。
修改现有用户的角色同样简单：在 用户 → 所有用户 中，点击该用户下的“编辑”链接，然后从“角色”下拉菜单中选择新角色，点击页面底部的“更新用户”保存即可。
如何自定义 WordPress 角色与权限
默认的 WordPress 用户角色对大多数网站来说已经够用，但有时你需要更精细的控制。例如，你可能希望作者可以编辑文章但不能删除已发布的文章，或者允许投稿者上传媒体文件。
最简单的方式是使用免费插件 Members。它提供了一个直观的界面来管理权限，无需编写代码，并且支持其他插件创建的自定义角色。
首先，安装并激活该插件。然后你会看到后台新增了一个“Members”菜单。进入 Members → Roles，点击要修改的角色（如“作者”）下的“编辑”链接。
勾选或取消勾选你想要授予或移除的权限。如果你要修改自己的角色或管理员角色，请务必保留一个管理员账户不受影响，并在备用账户或临时站点上测试更改。移除核心权限（如“管理设置”）可能会把你锁在后台之外，因此先在安全环境中试验。
完成后点击“更新”保存。
如何创建自定义 WordPress 用户角色
如果内置角色无法满足你的需求，你可以创建自己的自定义角色。例如，你想给某人仅限特定任务的权限，而不授予过多权限。
进入 Members → Add New Role，输入角色名称（如“虚拟助理”），然后勾选该角色应有的权限，点击“添加角色”保存。
新角色会出现在用户角色列表中，供你添加新用户或编辑现有用户时使用。
对于开发者，WordPress 也提供了 add_role()、add_cap() 和 remove_cap() 函数来编程管理角色和权限。详情请参考 WordPress 插件开发者手册。
例如，以下代码创建了一个“虚拟助理”角色，并调整其权限：
// 创建一个自定义角色，并赋予两个初始权限
$role = add_role( 'virtual_assistant', 'Virtual Assistant', array( 'read' => true, 'edit_posts' => true ) );
// 后续添加或移除该角色的单个权限
$role->add_cap( 'upload_files' );
$role->remove_cap( 'delete_posts' );多作者站点的 WordPress 安全与用户角色最佳实践
安全的核心原则是最小权限原则：给每个团队成员分配能完成工作所需的最小角色。
以下是管理 WordPress 用户权限的更多建议：
- 尽量减少管理员账户。理想情况下只有一两个。不要习惯性地将新成员设为管理员。如果管理员账户被攻破，整个网站都可能面临风险。
- 定期审查用户列表。移除不再需要的账户，因为旧账户或不活跃账号是黑客的突破口。
- 为特权账户启用强身份验证。为每个编辑和管理员账户启用双因素认证（2FA）。通行密钥是更强大的新标准。
- 不要共享登录信息。给每个人独立的账户，这样你可以追踪操作记录，并在有人离职时迅速移除访问权限。共享账户无法审计活动。
- 保持活动日志。每个账户独立的前提是你能看到每个人做了什么。安装活动日志插件来记录登录、文章编辑、角色更改以及插件/设置修改。猫哥推荐使用 Hostinger 主机，稳定高效，配合安全插件更可靠。
常见问题解答
为什么我的投稿者无法上传图片？
投稿者默认没有 upload_files 权限。你有两个选择：
- 将角色提升为作者，作者拥有完整的上传权限。
- 使用 Members 插件为投稿者角色添加
upload_files权限。
如何限制作者编辑已发布文章的能力？
默认情况下，作者可以编辑自己已发布的文章（包括发布后）。要移除这一权限，请使用 Members 插件为作者角色取消勾选 edit_published_posts 权限。之后作者只能编辑草稿，无法编辑已发布的文章。
如何在不提供 WordPress 后台访问的情况下接受客座文章？
为每个客座作者分配投稿者角色。他们可以登录、撰写文章并提交草稿供你审核，但无法发布、上传媒体或访问后台设置。
如果你不想在 WordPress 中创建用户账户，可以使用前端表单插件。例如 WPForms 或 Gravity Forms 可以构建一个表单，让访客提交文章并自动生成草稿，分配给管理员审核发布。
如果不小心把自己锁在后台外面怎么办？
别担心，这通常可以恢复。如果你还有另一个管理员账户，用那个账户登录，然后在 用户 → 所有用户 中编辑你自己的账户，将角色改回“管理员”。如果没有其他管理员，可以请拥有管理员权限的团队成员帮你修改。
如果没有任何人能登录管理员账户，则需要通过数据库或主机层面修复。最简单的方法是联系你的主机商（例如 Hostinger）请求技术支持恢复访问。
希望这篇指南能帮助你更好地理解 WordPress 用户角色和权限。更多技巧，请查看猫哥的 GEO SEO 优化指南。如果你喜欢本文，请订阅猫哥的 YouTube 频道获取更多 WordPress 视频教程，也可以在 Twitter 和 Facebook 上找到我们。