Fix broken access control

[tanftw]

E thấy term sẽ visible với tất cả user nên e không fix, không biết có trường hợp nào cần limit không?

Hướng xử lý của e:

Post

• Thêm perm vào query, mặc định là readable.
• Không chấp nhận query perm qua ajax.

User

• Ẩn user_email và user_pass.
• Không chấp nhận query fields qua ajax.
• Nếu người dùng vẫn muốn lấy user_email thì dùng filter như sau:

// This filter accepts two paramters
add_filter ('rwmb_user_query_args_fields', function ($args, $field) {
	return [
		'ID',
		'user_login',
		'user_email',
		'user_nicename',
		'user_url',
		'user_registered',
		'user_status',
		'display_name',
	];
}, 10, 2);

P/S: Thực ra e thấy config fields qua settings của field hay hơn là dùng filter, nhưng trong phần ajax làm sao lấy được $field qua field id nhỉ? Dùng $field = rwmb_get_field_settings( $field_id ); thì với nhiều loại object_type, post type khác sợ ko chuẩn.