Fix broken access control

[tanftw]

E thấy term sẽ visible với tất cả user nên e không fix, không biết có trường hợp nào cần limit không?

Hướng xử lý của e:

Post

• Thêm perm vào query, mặc định là readable.
• Không chấp nhận query perm qua ajax.

User

• Ẩn user_email và user_pass.
• Không chấp nhận query fields qua ajax.
• Nếu người dùng vẫn muốn lấy user_email thì dùng filter như sau:

// This filter accepts two paramters
add_filter ('rwmb_user_query_args_fields', function ($args, $field) {
    return [
        'ID',
        'user_login',
        'user_email',
        'user_nicename',
        'user_url',
        'user_registered',
        'user_status',
        'display_name',
    ];
}, 10, 2);

P/S: Thực ra e thấy config fields qua settings của field hay hơn là dùng filter, nhưng trong phần ajax làm sao lấy được $field qua field id nhỉ? Dùng $field = rwmb_get_field_settings( $field_id ); thì với nhiều loại object_type, post type khác sợ ko chuẩn.