PHP: 怎样在后台替换author参数，防止信息泄露？

[xinzhi]

我想是，只能看到自己的文档，url中upload.php没有author的query，就加上自己的ID，当点击别人的ID，也要替换成自己的。

很久没看的WP代码，改动蛮大找不着北了。现在处理的多用户后台，文章部分WP的权限处理很完善，附件部分就显得不够完整，插件作用不到，只能改改系统代码了。

我写的代码大概是这样，PHP语法和WP函数都不太熟悉：
http://gist.github.com/835087
https://gist.github.com/835087
望指正！

[xinzhi]

媒体库页面，是没有author这个过滤选项的，一般不会附加到URL上，但手动加上，的确有效。

数据库查询语句没有找到，只是在145行SQL语句AND前加AND post_author = $current_user->ID发现有点效果。

[manhere]

if的条件很诡异

[benzhe]

"只能看到自己的文档"，这样的话没必要用判断了吧，直接执行中间两句应该不会报错。按照这种说法，可以直接在new post前只一句author = XXX; 来固定author

[xinzhi]

@benzhe 是upload部分的，不是post。是上传的附件，不是文章。