ThinkPHP6.x中间件机制：实现用户登录拦截与权限验证的通用方案

在ThinkPHP6.x项目中，要实现对未登录用户或无权限用户的请求拦截，中间件机制几乎是绕不开的选择。这套方案的核心思路其实很清晰：先通过认证中间件确认身份，再用权限中间件做资源管控，配合RBAC缓存、JWT无状态认证以及路由级细粒度绑定，形成一条完整的校验链路。

下面直接进入正题，把每一个关键环节拆开来讲。

一、认证中间件前置注册并注入用户属性

认证中间件的活其实很明确：把用户身份认出来，再塞进请求对象里，方便后续的权限中间件直接取用。它必须跑在权限中间件前面，而且千万不能在构造函数里碰会话或用户数据——那时候还没初始化好，容易出岔子。

具体怎么搭？

1. 在 app/middleware.php 的 'http' 数组里，确保认证类（比如 CheckAuth）排在权限类（比如 CheckPermission）之前，顺序错了，后面全乱套。

2. 在 handle() 方法里调 Auth::check() 判断登录态，如果通过了，就用 Auth::user() 拉取用户模型。

3. 关键一步：通过 $request = $request->withAttribute('user', $user) 把用户对象绑到请求上。下游中间件想读用户信息，直接 $request->getAttribute('user') 就行，安全又方便。

4. 如果没登录，别含糊，统一返回 redirect('/login') 或者 abort(401)，记得 return 把流程掐断，别让请求继续往下溜。

二、权限中间件基于路由名匹配白名单与节点规则

权限中间件最忌讳的就是硬编码控制器名或方法名——维护起来能让人崩溃。更靠谱的做法是：靠标准化的路由名称来匹配权限节点。只要路由命名规范了，后面的权限校验就像查字典一样清晰。

具体操作步骤：

1. 确保所有需要鉴权的路由都显式命名。比如 Route::get('admin/user/list', 'Admin/UserController@list')->name('admin.user.list')，名字起得规矩，后面就好认。

2. 在中间件里提取当前路由名：$routeName = $request->rule() ? $request->rule()->getName() : null，记得判空，防止出现“调用一个 null 对象的方法”这种低级错误。

3. 把不需要登录的路径（比如 /api/login、/public/*）写进配置白名单，用 str_starts_with($path, $prefix) 快速匹配放行。

4. 对需要鉴权的路径，把 $routeName 映射成权限节点标识（比如 admin.user.list），然后去缓存里查当前用户角色有没有这个节点权限。

三、RBAC权限数据缓存与降级策略实现

每次请求都查数据库？性能受不了。所以得给权限数据加上缓存，而且要带着角色维度来存。同时还得考虑缓存失效时的兜底逻辑，确保权限变了之后不会误放行。

思路是这样的：

1. 缓存键用 auth_role_rules_{$roleId} 这种格式，值就是该角色下所有 rule_name 的集合（比如 Redis 的 SMEMBERS）。

2. 缓存没命中？那就老老实实做一次四表关联查询：user → role → role_auth → auth_rule，取到 auth_rule.name 字段，生成集合并写入缓存，TTL 设个 30 分钟够用。

3. 如果 $request->getAttribute('user') 为空，直接跳登录；如果用户是超级管理员（is_super == 1），直接放行，不查权限缓存——超级管理员就该有超级待遇。

4. 权限变更（比如分配角色、更新节点）后，记得主动清理对应 role_id 的缓存，否则缓存里的旧数据会一直让你“误会”用户还有权限。

四、JWT Token方式替代Session的无状态认证集成

如果你的项目是分布式部署或者前后端分离，那 JWT 比 Session 更合适。它的核心思路是：通过 HTTP-only Cookie 传递 Token，中间件统一解析并注入用户，服务端不需要维护会话状态。

具体怎么集成：

1. 登录成功后，调 JWTToken::createToken(['uid' => $user->id, 'role' => $user->role]) 生成 Token。

2. 把 Token 写进 HTTP-only Cookie：Cookie::set('token', $token, 7200, '/', '', true, true)。这样前端拿不到，XSS 攻击也偷不走。

3. 在认证中间件里，从 Cookie 读取 Token，调 JWTToken::verifyToken($token) 解码获取载荷数据。

4. 根据载荷里的 uid 查用户模型，再用 $request->withAttribute('user', $user) 注入，后面流程就跟 Session 方案完全一样了。

五、路由级中间件绑定实现细粒度控制

全局中间件太粗了，有些接口就是要开放给所有人的（比如公开 API），不能一刀切全部拦截。这时候就需要在路由定义里显式绑定中间件，实现真正的细粒度控制。

几种常见的绑定方式：

1. 对整个资源路由加中间件：Route::resource('admin/user', 'Admin/UserController')->middleware('auth,permission')。一次搞定整个模块。

2. 对单个操作单独绑定：Route::post('admin/user/delete', 'Admin/UserController@delete')->middleware('permission')。细化到每个方法。

3. 对无需验证的路由显式跳过：Route::get('api/v1/public/info', 'Api/PublicController@info')->withoutMiddleware(['auth', 'permission'])。别让中间件误伤开放接口。

4. 验证中间件是否生效：在 handle() 开头加一行 trace('auth middleware hit')，查日志就能确认执行轨迹。调试阶段这个小技巧特别管用。