WordPress 教学：用户帐号「角色与权限」说明

WordPress 网络内容管理系统（Content Management System, CMS）虽然常见于个人网志、部落格（Blog）网站中使用，但 WP 其实早已内建有五种基本的用户帐户类型（Role）[1]，并针对个别类型的用户提供不同程度的管理权限。

这五种帐户类型分别是订阅者（Subscriber）、写手（又称投稿者，Contributor）、作者（Author）、编辑（Editor）以及管理员（Administer）。这项功能对于开放写手进行多人作者的网站而言（现在还蛮流行的），免去了另外挂上用户权限管理插件（Plugin）的麻烦。

虽然相对于 Joomla 与 Drupal 这类架站系统，WordPress 以一个最初是部落格管理起家的系统而言，在用户权限管理的应用上显得相当阳春，幸好还是可以透过如下图一的外挂插件（例如：Members）或是增添指令（例如：add role()）达成多样化的「角色与权限」设定应用。

Fig.1, WordPress 帐号权限管理插件 Members 示意图。

如果你的网站打算走个人网志的型态，也不需要进行权限设定，因为你的帐号一定是拥有最大权限的管理者，在你自己的空间中想做什么就做什么。

不过为了安全性的考量，我们还是建议您新增一个专门用来发表文章的帐号。

一方面避免管理者帐号大辣辣地摆在台面上，另一方面还是为了方便管理，例如：管理者帐号采用复杂密码，发布文章的帐号采用简单密码，如此一来，以后在不同电脑写文章时，就可以轻松的登入发文专用帐号（不然谁能记这么多密码）。

用户帐号「角色与权限」说明

文章前面曾经提到 WordPress 默认的用户类型共有五种，接下来将仔细跟大家介绍这五种的基本权限说明：

订阅者（Subscriber）

订阅者仅被赋予最少的角色权限，除了与未登入的观众一样可以查看网站文章外，还能登入后台查看网站活动列表、回响列表、WordPress 新闻列表，Jetpack 功能起的启用状态、以及修改个人信息。

另外在 WordPress 默认的设定中，新注册的用户都会被归类为订阅者角色。

订阅者本身的权限虽然不会对系统造成任何修改性的破坏，但是我个人建议如非必要，还是请务必关闭帐号注册的功能，避免有心人能从些许的蛛丝马迹并进行破坏。

请参阅下图 Fig.2 所示，关于 WordPress 用户权限的设定功能，可以在**后台「设定」→「一般」**中找到。如果你是刚架站的新站长，也请记得去检查「任何人皆可注册」选项是否已经取消。

Fig.2, 一般设定可设定成员资格。

写手、投稿者（Contributor）

写手（又称投稿者）身分的角色，除了拥有订阅者的全部权限外，还可以在控制台中查看文章概况、查看全部文章与回响（但无法编修或删除）、可设定部分外挂插件（Plugin）及工具。

此外，写手最大的特征是已具备撰写新文章的权限，但无法上传媒体文件（例如：Jpeg 影像），以别需提交给更高权限的角色进行文章审查（如下图 Fig.3），无法直接发布文章。

Fig.3, 送交审查按钮

然而，投稿者的身分有点暧昧不明，虽然可以提交文章，但无法上传文件，却又能查看许多站内资料，这有影响网站安全性之虞。例如外挂插件设计不良，很可能发生系统功能被乱动的窘境。我就曾发现有网站直接公布投稿者的帐密，希望网络作者自己登入并发表文章。如果你觉得有必要这样做，我建议是重新建立一个新的投稿者身分，并将权限限缩于发表文章即可，最后再建立新身分跑一次后台查看是否有漏网之鱼。

作者（Author）

其实前面两个角色可说是「纯服务」性质的存在，让陌生用户有像实习生的机会贴近网站。但是接下来这个角色「作者」就像是已经面试入公司的新员工，具备发布文章所需要的所有权限，除了可以自由上传媒体文件、编修与删除文章（仅限自己发表的文章）外，还可以直接发表文章。如果被垃圾广告、邮件业者取得这个角色帐号，那么你在一觉醒来后肯定会被自己网站爆增的文章数量吓了一跳。

另外，这个角色除了可以更进一步设定部分外挂插件的功能外，还能在后台的「设定」的「分享」中，将帐号与 WordPress 官网进行链接，用以设定自己的宣传方式。

编辑（Editor）

身为只比管理员小一阶的编辑来说，主要的权限还是在内容本身。编辑比作者的权限更高一级，可以针对网站所有文章、媒体文件以及回响进行新增、编辑以及删除的动作，甚至分类、标签以及页面都可以完全控制，掌管著内容管理网站最重要的核心价值。

换句话说，你必须用跟管理员相同的安全等级观念在看待编辑这个角色，如果不是信任的朋友或同事，请勿随便给予这个角色。

至于编辑在系统设定以及外挂插件部分，其实与作者、投稿者等角色没有太大差异。

管理员（Administer）

最后一个，最重要、最容易理解也是最常见的角色自然就是管理员，拥有管理网站的全部权限，请务必参考另一篇文章《信息安全：设计一组好密码保护网络隐私与安全（规则教学）》的内容，设计出一组优质的复杂密码，而且尽量不要在陌生电脑启用这个角色的帐号。

WordPress 教学：用户帐号「角色与权限」说明