User ohne jede Berechtigung können alle veröffentlichten Posts sehen
Das mag logisch klingen, dass ein User ohne jede Berechtigung gleich viel sehen kann, wie ein nicht eingeloggter User.
Nehme ich einem User also die Berechtigung weg, einen Post zu sehen, spielt das keine Rolle – was nicht ganz logisch erscheint.
Zur Veranschaulichung, hier die Übersicht vom User Role Editor Plugin – das zeigt eine User-Rolle ohne jegliche Berechtigung:
Obwohl dieser User keinerlei Berechtigung für den CPT „Heizungsmaterial“ hat, kann jeder Post von Heizungsmaterial angeschaut werden!
Warum???
Lösung: Wie auf Capability bei wp_query überprüfen?
Wird der Permission Parameter von wp_query angegeben, so kann ich auf die Capability überprüfen.
Wichtig ist also, dass bei einem wp_query Aufruf der Parameter „perm“ angegeben wird, der Codex zeigt das auch als Beispiel:
Es gibt hier zwei Möglichkeiten für diesen Parameter:
- editable
- readable
Den „readable“ Parameter gebe ich hier an, weil ich auch „private“ Posts holen möchte, die dann einer User-Rolle angezeigt wird, die die Berechtigung bekommen hat.
Bonus: Wie mache ich das zb bei Archiv-Seiten? pre_get_posts()!
Bei zb Archivseiten erzeuge ich selbst keinen wp_query Aufruf. Der „perm“ Parameter ist auch nicht gesetzt! Das muss ich selbst erledigen.
Damit diese Überprüfungen auch bei Archivseiten o.ä. funktionieren, muss ich in die Standard-WP-Query eingreifen!
Das funktioniert eh einfach über den Hook pre_get_posts().
