WordPress 會員與角色：誰能看、誰能改、誰能管理

請朋友幫忙校稿，最省事的做法似乎是直接開一個管理員帳號。但對方只需要修改文章，未必需要調整網站設定或管理其他帳號。權限應從工作需求開始，而不是從後台哪一個按鈕看得到開始。

另一種常見需求是「讓會員看這篇文章」。這涉及內容存取，和「讓同事編輯這篇文章」屬於不同問題。以下以一個社團網站為例，把投稿、發布、會員閱讀和維護設定分開安排，操作前先在測試副本確認目前外掛是否修改過預設行為。

把每個角色要做的事寫成動詞

先列出新增草稿、修改自己的文章、修改別人的文章、發布、上傳圖片、管理會員及安裝外掛等動作。再把實際人員對應到需要的動作。職稱叫「小編」並不能決定系統權限，因為有人只負責投稿，有人也要審稿和發布。

WordPress 角色是一組能力的集合，例如 publish_posts 控制文章發布能力。角色名稱方便管理，但同名角色可能已被外掛或客製程式調整。若網站用了會員、商店或課程系統，還要閱讀它們自己的角色說明，不能只拿核心預設表直接套用。

1. 列出工作流程中的每個操作，標明哪些資料屬於自己或其他人。
2. 優先選擇接近需求的預設角色，再記錄真正缺少的能力。
3. 為測試帳號設定角色，分開確認允許與禁止的操作。

先了解核心預設角色的邊界

在一般單站的預設設定下，編輯可管理及發布他人的文章；作者主要管理並發布自己的文章；投稿者可處理自己的草稿，但不能自行發布。訂閱者主要管理個人資料，不等於擁有閱讀全站私人文章的權限。管理員則能處理廣泛的網站設定。

例如社團邀請會員投稿，可先以投稿者流程交稿，再交給編輯審核。若投稿者還需上傳圖片，這是另一項能力需求，應評估由編輯代上傳或建立受控的投稿流程。不要只因缺少上傳按鈕，就把投稿者直接提升成管理員。

多站網路還有 Super Admin，與單一網站管理員的範圍不同。本文以一般單站為主；若網站屬於 Multisite，先找網路管理者確認角色在哪個站生效，以及修改是否會同步到其他站，避免影響不在本次工作的網站。

內容可見性不等於會員分級

WordPress 單篇內容可以設為公開、密碼保護或私人。密碼保護是輸入共享密碼閱讀，不是逐一確認會員身分；私人內容則依權限顯示，核心預設下編輯與管理員可查看相應私人文章。把文章改為私人，不會自動建立一般會員專區。

社團若要區分一般會員與幹部文件，應明確選擇支援對應規則的會員或內容限制工具，並確認哪些內容會被保護。文章本文、摘要、搜尋結果及下載檔案可能經過不同路徑提供，必須按實際使用情境測試，不能只看導覽列消失就認定已限制。

對含有個人資料的文件，先使用沒有敏感內容的測試檔核對直接網址、未登入狀態和不同角色。若檔案仍可直接取得，應先處理檔案存取方式再放入正式資料。搜尋引擎不索引的設定也不能代替身分驗證。

用 User Role Editor 修改需要的能力

User Role Editor 官方外掛頁說明，它可編輯角色能力、複製或新增角色，也支援個別使用者能力及多重角色。操作入口在使用者選單中的 User Role Editor。先保存原始角色與帳號對應，再選定要修改的角色、勾選必要能力並更新。

以「活動投稿」為例，可從接近需求的低權限角色複製，清楚命名並只加入已確認需要的能力。每個額外勾選都應能回答對應哪項工作。manage_options 之類的廣泛能力可能開啟多個外掛設定，不能把它當成某個單一報表的專用開關。

外掛頁把部分選單阻擋、角色匯出匯入及細部內容限制列在 Pro 功能。先核對自己安裝的版本與所需模組，不要照著付費版操作圖找不到按鈕就任意改核心角色。本篇不提供固定價格，購買前應再確認授權站數與續約條件。

選單看不到，仍要測試真正的存取

移除選單可能只是整理介面。WordPress 的 remove_menu_page 函式本身處理的是選單項目，因此單靠這類顯示調整，不能證明對應頁面或功能已被禁止。真正的權限設計要確認伺服器在請求頁面及提交操作時都有適當檢查。

User Role Editor Pro 的管理選單模組則明確說明會同時隱藏項目並阻擋對應網址。這仍有它的設定範圍與參數行為，應測試清單、搜尋、編輯與儲存流程。不能從一個網址被阻擋，推論外掛的所有 API 或前台資料都已受同一規則保護。

測試時用被限制角色登入另一個瀏覽器，直接貼上已知管理網址，再嘗試原本不應允許的操作。只在你管理的測試站進行，使用虛構資料並記錄結果。若限制失效，先回到能力及工具文件查明原因，避免用更多介面隱藏遮住問題。

把權限驗收納入更新與交接

至少準備訪客、一般會員、投稿者和維護者幾種測試身分，核對各自可閱讀及可修改的範圍。除了確認該做的事能成功，也測試不該做的事會被拒絕；例如投稿者不能發布，會員不能修改另一人的資料，已撤銷權限的帳號不能沿用原工作入口。

新增外掛可能增加能力或重新設定角色。更新後重跑關鍵測試，交接時保存角色用途、額外能力、內容限制及負責人。若曾針對單一帳號給予特殊能力，也要納入清單，否則只修改角色可能漏掉例外。

移除角色前先把仍使用它的帳號安排到合適位置；停用權限管理外掛也不能當成所有設定必然還原。對復原方式不確定時，先在副本核對資料保存與停用結果，再決定正式站的調整順序。

加強 WordPress 帳號與安全維護

掌握 WordPress 後台基本操作

• 教學
• 軟體與 App
• 架站與電商
• WordPress