map_meta_cap │ хук-фильтр │ WP 2.8.0

Этот пример показывает как можно дополнительно открыть доступ пользователя для выполнения каких-либо действий. В данном случае, открыть доступ к редактированию записи для подписчика с фронта.

Предполагается что запись можно редактировать с фронт-энда и проверка на эту возможность делается стандартно: current_user_can( 'edit_post', $post_id );

// разрешаем редактировать пост подписчику, если он автор поста и 
// со времени публикации поста не прошло больше X месяцев
! is_admin() && add_filter( 'map_meta_cap', 'allow_subscribers_edit_self_posts', 10, 4 );
function allow_subscribers_edit_self_posts( $caps, $cap, $user_id, $args ){
	// print_r( $caps );    // [0] => edit_published_posts
	// print_r( $cap );     // edit_post
	// print_r( $user_id ); // 80
	// print_r( $args );    // [0] => 913

	if( $cap === 'edit_post' && $caps[0] === 'edit_published_posts' ){
		$post = get_post( $args[0] );
		// разрешаем редактировать пост, если это автор поста и со времени 
		// публикации поста прошло не больше 2 месяца
		if( 
			$post->post_author && $user_id == $post->post_author && 
			get_userdata($user_id)->roles[0] === 'subscriber' && 
			( time() < ( MONTH_IN_SECONDS * 2 + strtotime( $post->post_date_gmt ) ) )
		){
			$caps[0] = 'read';
		}
	}

	return $caps;
}

Допустим, авторы публикуют проекты (Записи) и в метаполе указывают ID трекера (кастомная роль), который затем сможет редактировать их проекты.

add_filter( 'map_meta_cap', 'allow_tracker_edit_posts', 10, 4 );

/**
 * Разрешает Трекерам редактировать записи подопечных.
 *
 * @param array  $caps
 * @param string $cap
 * @param int    $user_id
 * @param array  $args
 *
 * @return array
 */
function allow_tracker_edit_posts( $caps, $cap, $user_id, $args ) {
	if (
		// Работаем только с нужной мета-возможностью
		$cap === 'edit_post'
		// ID текущего пользователя должен совпадать с тем, что в мете у записи
		&& (int) get_post( $args[0] )->project_tracker === $user_id
		// Роль текущего пользователя, для которого надо добавить возможность
		&& get_userdata( $user_id )->has_cap('project_tracker')
	) {
		$caps[0] = 'edit_posts'; // Добавляем фундаментальную возможность (право)
	}

	return $caps;
}

Чтобы жестко запретить какое-либо право в хуке нужно вернуть массив с элементом 'do_not_allow'.

Потому что, если например вернуть массив вообще без прав - пустой массив, или массив содержащий несуществующие права, то например, супер-админ в сети мультисайт будет иметь право на любую возможность, даже если её не существует.

Поэтому, когда нужно чтобы никто не имел указанного права , в том числе и супер-админ, нужно добавить в массив возвращаемых прав строку 'do_not_allow'.

Например, удалим у всех (в том числе у супер-админа) право на работу с WP кастомайзером:

add_filter( 'map_meta_cap', 'remove_customize_capability', 10, 2 );
function remove_customize_capability( $caps, $cap ) {
	return ( $cap === 'customize' ) ? [ 'do_not_allow' ] : $caps;
}