WordPress 用户角色全解：5 种角色怎么分权，手把手教你创建和管理用户

在我们管理 WordPress 网站只有你一个人打理的时候，用户角色这事你可能不会在意。但凡你开始找人帮忙，请了个写手发文章、找了个外包改页面、或者开放了会员注册，问题立马来了:给他开什么权限?给大了,一个手滑能把你整站内容删光;给小了,他连文章都发不了。

WordPress 早就想到了这点,内置了一套用户角色(User Role)系统,把权限打包成几个等级,你只要把合适的”帽子”扣到人头上就行。这篇文章我先把 5 种默认角色各能干什么讲透，再手把手教你创建、修改、删除用户,最后说说多人协作怎么安全分权。

核心概念:角色就是一套”权限打包”

理解角色其实很简单。WordPress 里一个”角色”就是一堆具体权限(Capability)的集合，能不能发文章、能不能改别人的文章、能不能装插件、能不能改网站设置……这些细碎权限被打包成了几个档次,每个档次给个名字,就是”角色”。

你给一个用户分配了角色,他就自动拥有这个角色对应的全部权限,不用你一项项去勾。权限从大到小依次是:管理员 > 编辑 > 作者 > 投稿者 > 订阅者。

5 种默认角色,各能干什么(重点)

这是全文最关键的部分,给错权限的坑全在这。一个个说清楚。

① 管理员(Administrator)——最高权限,等于站长本人

能干一切:发/改/删任何人的文章、装删插件主题、改网站设置、增删其他用户、修改别人权限。这是最危险的角色，管理员能把整个站搞崩,也能把你自己踢出去。 所以这个角色只给你最信任的人,最好只有你自己一个。

② 编辑(Editor)——内容总管,但碰不了系统

能发布、编辑、删除任何人的文章和页面,管理分类标签、审核评论。但他不能装插件、不能改主题、不能动网站设置、不能管理用户。这个角色非常适合给”内容负责人”，他全权管内容,但碰不到网站的命门。多人内容团队,这是最常用的角色。

③ 作者(Author)——只能管自己的文章

能发布和管理自己的文章(包括自己发的能删),能上传媒体。但他改不了别人的文章,也碰不到页面和设置。适合给固定的撰稿人，他对自己的内容全权负责,但动不了别人的。

④ 投稿者(Contributor)——能写不能发

能写和编辑自己的文章,但不能发布(写完是草稿,得等编辑或管理员审核发布),而且不能上传图片。适合给新来的、还不太信任的外部写手，他能交稿,但发不发得出去你说了算。注意那个”不能传图”的限制,新手常被这个卡住。

⑤ 订阅者(Subscriber)——权限最低,基本只能看

只能管理自己的个人资料,读内容。发不了任何东西。适合会员制网站、评论区注册用户、或者只需要登录看内容的场景。

管理员管全站,编辑管所有内容,作者管自己内容,投稿者只能写草稿,订阅者只能看。

怎么创建一个新用户(手动添加)

概念清楚了,实操。手动加一个用户很简单。

进 WordPress 后台 → 用户 → 添加用户,填写:

• 用户名:登录名,一旦创建不能改,想好再填(别用 admin,安全大忌)
• 电子邮箱:每个用户必须唯一
• 密码:系统会自动生成强密码,建议用它
• 角色:下拉选上面讲的 5 种之一，这一步最关键,想清楚给谁什么权限

填完点”添加新用户”就建好了。可以勾选”发送通知邮件给用户”,他会收到登录信息。注意这封通知邮件能不能发出去,取决于你的 WordPress 邮件配置好没有，没配 SMTP 的话很可能发不出去。

如果你的站是开放注册的(比如会员站),让用户自己注册并设密码更省事,这个看WordPress 用户注册设置教程:2种方法让用户自己设密码。

怎么修改用户角色和信息

人招进来了,后来想给他升权或降权,随时能改。

进 用户 → 所有用户,找到那个人,鼠标悬停点”编辑”,在用户资料页里就能改角色、改邮箱、改个人信息、重设密码。改完保存即可。

批量操作也行:在用户列表勾选多个用户,上方”批量操作”选”更改角色为”,可以一次性把一批人的角色统一改掉。

需要更细的权限?用插件自定义角色

默认 5 种角色覆盖了大多数场景,但有时候不够精准——比如你想要”一个只能管评论、别的啥都不能动”的角色,默认里没有。

这时候用角色管理插件(比如 Members、User Role Editor),可以自定义新角色、或精细调整现有角色的每一项权限,想给哪个权限就勾哪个。不过提醒一句:非必要别乱装插件,先想清楚默认角色是不是真不够用,装插件前先过一遍WordPress 插件怎么选:6个底层标准。

多人协作的安全建议

用户管理不只是”分权限”,更是”控风险”。几条实操建议:

一是最小权限原则。 给每个人刚好够用的权限,不多给。写手给作者或投稿者就行,别图省事全给管理员——这是最常见的作死操作。

二是管理员账号越少越好。 理想情况只有你自己一个管理员。多一个管理员,就多一个能把你踢出站、能搞垮全站的人。

三是弱密码是灾难。 每个用户尤其是管理员,必须用强密码。配合防暴力破解和隐藏登录地址双保险——限制登录尝试次数看WordPress 登录页防暴力破解教程,隐藏后台登录地址看WPS Hide Login 隐藏后台登录地址。这俩配上,账号安全能提升一大截。

四是定期清理僵尸账号。 离职的人、不再合作的写手,账号及时降权或删除(记得转移内容),别留着成为安全隐患。

权限分得再好,一次被黑也可能前功尽弃，真实的教训看WordPress 网站被黑:真实外贸站重构案例,很多站就是栽在账号管理松散上。

核心总结

WordPress 用户角色说复杂也并不复杂,核心就一句:权限从高到低五个档,按”最小够用”原则扣给对应的人。 管理员只留自己,内容负责人给编辑,写手给作者或投稿者,普通会员给订阅者。创建、改、删都在”用户”菜单里几步搞定,删用户记得转移内容别误删。

刚建好站、还在做基础配置的,用户角色只是其中一环,照WordPress 安装后必做的10项核心配置把整个清单过一遍更稳妥。想把后台登录页也美化一下的看WordPress 后台登录页自定义教程;站点多了纠结要不要用多站点的,看WordPress Multisite vs 多个独立安装怎么选。还在选主机搭环境的,翻WordPress 主机汇总页挑台靠谱的机器打底。