Quem vê o botão
Só quem pode editar aquele post e publicar aquele tipo de post. Um colaborador nunca vê. A permissão é checada de novo no servidor quando a requisição chega, e cada link é assinado com um nonce vinculado ao post — então o botão não pode ser copiado nem forjado para publicar.