新增使用者看不到後台？用 User Role Editor 修正角色權限
新增 WordPress 使用者後，最常見的問題不是帳號無法登入，而是登入後看不到應有的後台功能。例如，編輯者看不到文章選單，作者無法上傳媒體，維護人員不能查看留言；另一種風險則是為了快速排除問題，直接把使用者設成管理員，導致他可以修改外掛、佈景主題、網站設定，甚至管理其他帳號。
這篇文章以 User Role Editor 為例，提供基礎工程師一套較安全的檢查流程：先確認目前角色，再比對能力（capabilities），只補足工作所需的權限，最後用獨立測試帳號驗證。角色與權限屬於網站安全邊界，請先備份角色設定，並在低風險時段進行修改。
先判斷是角色問題還是其他故障
如果使用者能正常登入，但後台選單缺少文章、媒體或留言，通常與角色能力不足有關。不過，外掛衝突、管理選單自訂、Multisite 網路權限、快取，或帳號實際套用到錯誤角色，也可能造成相似症狀。
- 看不到文章：先確認角色是否具備
read、edit_posts；若需發布，再檢查publish_posts。 - 無法上傳圖片或檔案：通常需要
upload_files，但仍應依工作內容授予。 - 看不到或無法處理留言：依需求檢查
moderate_comments，不要因此直接授予完整管理權。 - 只能編輯自己的文章：作者通常不應取得編輯他人文章或已發布內容的能力。
若你懷疑是外掛互相影響，可先參考WordPress 疑難排解模式：不影響訪客就能找出外掛衝突；若需要確認最近誰改過角色或設定，也可搭配Simple History：WordPress 後台變更紀錄進行追蹤。
安裝並啟用 User Role Editor
- 先完成網站檔案與資料庫備份，並記錄現有角色與重要帳號。正式站建議選擇流量較低、有人可監看與回復的時段。
- 以具備必要管理能力的管理員登入後台，前往「外掛」→「安裝外掛」，搜尋 User Role Editor。
- 確認外掛來源為 WordPress.org 的 User Role Editor，再安裝並啟用。也可以先從官方外掛頁面確認名稱、作者與版本資訊。
- 啟用後通常可從「使用者」→「User Role Editor」進入角色能力設定。不同版本或語言介面可能略有差異，請以目前畫面為準。
不要在正式站安裝來路不明的角色管理工具，也不要同時啟用多個會改寫使用者能力的外掛。若外掛更新後出現異常，應先記錄版本與變更內容，再依既有回復流程處理。
查看使用者目前套用的角色
先到「使用者」→「所有使用者」，開啟目標帳號，確認「角色」欄位。常見內建角色包括訂閱者、投稿者、作者、編輯者與管理員；角色名稱不一定代表該帳號實際需要的工作範圍，請以能力清單和工作流程判斷。
接著在 User Role Editor 選擇該角色，查看已勾選的能力。若公司使用自訂角色，先確認使用者是否被指定到正確的自訂角色，而不是只看角色名稱。WordPress 的角色與能力概念可參考WordPress 官方角色與能力文件。
只補上完成工作所需的權限
建議先把需求寫成可驗證的動作，再逐項補權限。例如「可以撰寫並發布自己的文章」與「可以修改所有作者的文章」是兩種不同需求，不能只因為前台看不到某個選單，就把整組高權限能力全部打開。
| 工作需求 | 可優先檢查的能力 | 不應直接授予 |
|---|---|---|
| 撰寫草稿 | read、edit_posts | manage_options |
| 發布自己的文章 | publish_posts | 管理外掛與佈景主題 |
| 上傳圖片 | upload_files | 完整使用者管理權 |
| 審核留言 | moderate_comments | 網站設定與程式碼編輯權 |
在角色編輯畫面勾選必要能力後儲存，並把修改前後的角色名稱、能力清單與操作者記錄下來。不要為了解決一個選單消失的問題，直接勾選「全選」或加入管理員角色。WordPress 官方開發者文件也提醒，角色與能力應依最小權限原則設計，可參考User Roles and Capabilities 官方說明。
用測試帳號驗證，而不是直接猜測
不要用同一個管理員帳號反覆切換角色測試，因為管理員通常看得到所有功能，無法代表一般使用者。建立一個不含真實個人資料的測試帳號，套用待驗證角色，並使用強密碼；完成後再停用或刪除測試帳號。
- 以測試帳號登入，確認是否看得到預期的文章、媒體或留言選單。
- 實際執行最低限度的操作，例如建立草稿、上傳測試圖片或開啟留言審核畫面。
- 確認不應出現的功能仍然不可用，例如外掛安裝、網站設定、佈景主題編輯與其他使用者管理。
- 登出測試帳號，再以原本的管理員帳號確認內容、媒體檔案與留言狀態沒有被意外修改。
若網站已安裝 User Switching，也可以參考User Switching：用模擬登入檢查 WordPress 使用者權限問題；但模擬登入前仍應確認操作人員具備授權，並保留測試紀錄。
驗證與回復
驗證完成後，刪除或停用測試帳號，並再次檢查正式使用者的登入與工作流程。若發現權限過大、功能異常、外掛與其他安全工具衝突，或修改後無法明確說明影響範圍，應立即回復原角色與原能力設定，而不是繼續試勾選。
- 優先使用事前匯出的角色設定、變更紀錄或備份還原原本的能力。
- 如果只是暫時排查，將使用者回復到原角色，確認問題是否消失。
- 若 User Role Editor 本身造成錯誤，可先停用外掛；停用前確認角色資料是否由外掛額外建立，以及回復方式是否已測試。
- 若無法安全回復，先保留目前設定與錯誤訊息，請具備網站管理權限的人員依備份流程處理。
角色權限調整的目標，是讓每個人能完成工作，而不是讓每個人都成為管理員。完成驗證後，持續檢查不再使用的帳號、過大的能力與外掛變更，才能降低後台誤操作與帳號遭濫用的風險。
臉書留言
一般留言