在矩阵中设置权限

矩阵里的每一个勾都是 WordPress 的一项 capability。设置通过 WP_Role::add_cap() 和 remove_cap() 完成，也就是直接写入 wp_user_roles。这里的内容立即在各处生效——对完全不知道本插件存在的代码同样有效：任何调用 current_user_can() 的插件都会得到相同的答案。

修改某个角色的权限

1. 在左侧栏的“角色与权限”下选择“权限矩阵”。
2. 在上方选择角色。下面的勾属于的正是这个角色。
3. 勾选与取消勾选。来自插件和主题的权限单列在“来自插件和主题”一组中。
4. 用末尾的按钮保存——在此之前什么都没写入。

“敏感”的意思是：打开的比名字说的多

有些权限被标注为敏感。比如 edit_plugins、edit_themes 和 edit_files 是通向服务器的入口，而不是编辑部：拥有它们的人可以通过文件编辑器往站点里写代码。Kakapo Security 可以有针对性地拿掉这些权限；在这里你能看到究竟哪个角色持有它们。

把自定义内容类型分开

出厂设置下，自定义内容类型与文章共用权限。能编辑“活动”的人，必然也能编辑文章。在“内容类型”下可以把二者分开：该类型获得独立的 capability，矩阵随后会把它们放进“自定义内容类型”一组中。

为什么这必须早发生

WordPress 在注册内容类型时就固定了它的权限映射。之后再设置就晚了，所以这项切换挂在 register_post_type_args 过滤器上。

register_post_type_args