ThinkPHP如何实现RBAC权限控制_基于中间件的权限验证策略

说到ThinkPHP 6里的RBAC权限控制，最干净利落的做法就是用中间件来拦截请求，然后依次查用户角色、查角色权限、再匹配当前路由。千万别在每个控制器里手动去查，也别用全局的__construct做校验——中间件才是正经处理权限的姿势。

RBAC权限验证中间件怎么写的核心要点

关键点在于，中间件必须在路由匹配完成之后、控制器执行之前运行。所以注册的时候，要放在app/middleware.php的'http'数组里，而且顺序一定要靠后，比如放在AllowCrossDomain之后、CheckAuth之前。

中间件类里可以用$request->url()拿到当前路径，也可以用$request->action()加上$request->controller()拿到方法和控制器名。但更推荐的做法是统一走路由规则名，也就是$request->rule()->getName()，这样可以避免大小写或驼峰转换带来的问题。

权限判断逻辑千万别硬编码成admin/index/index这种字符串。应该去查数据库里预设的rule_name字段，这个字段对应的是路由名。否则一旦改了路由配置，之前写死的字符串就全失效了。

这里有一个细节容易踩坑：记得对游客（未登录）和超管（is_super = 1）做短路处理。游客直接跳转到登录页，超管直接放行，别让超管也进权限表去扫描，完全是白费力气。

权限表结构怎么设计才不会翻车

常见的翻车点是用“用户-菜单”直连表，或者把权限当成字符串存在JSON字段里。结果查权限慢得像蜗牛，索引走不了，改个菜单还得批量更新所有用户记录。

ThinkPHP RBAC必须按四张表来建：用户表（user）、角色表（role）、权限节点表（auth_rule）、角色-权限关联表（role_auth）。其中auth_rule的name字段必须唯一，而且值必须是路由名，比如'admin.user.list'或者'api.v1.order.create'，而不是URL路径。

auth_rule表的type字段建议分成'menu'和'permission'两类。前端只读menu来渲染侧边栏，后端校验时只认permission。另外，别把HTTP方法（GET/POST）塞进name里，应该在auth_rule表里加一个method字段单独存，否则一个接口支持多个方法就得拆成好几条记录。

如果使用了多应用，比如同时有admin和api，那么auth_rule.name的前缀必须带上应用名，写成'admin.' . $routeName这种形式，不然不同应用之间的权限会乱串。

中间件里查权限为什么总是查不到

遇到这种情况，十有八九不是代码写错了，而是缓存的问题、路由名不一致，或者是数据没关联上。ThinkPHP默认不会自动把路由名注入到auth_rule.name里，需要人工去对齐。

一个典型的现象是：$request->rule()->getName()返回空，或者返回类似'\app\controller\Admin\UserController@list'这种反射字符串。这说明没有开启路由命名，或者没有在路由定义里加name()方法。

要确保所有需要鉴权的路由都显式命名，比如：Route::get('user/list', 'admin/user.list')->name('admin.user.list')。在中间件里查权限之前，可以先dump($request->rule()->getName())看一下输出，如果为空，就回去检查路由定义和app/route.php是否正确加载了。

用Cache::get('auth_rules_' . $userId)缓存用户权限时，记得在用户角色变更后主动删除这个key，否则改了权限也不会生效。如果用了分组路由，比如Route::group('admin', function () {...})，命名时千万别漏掉前缀，name('admin.user.list')和name('user.list')完全是两回事。

超管权限绕过失效的三个原因

明明标了is_super = 1，却还是被拦在门外？问题往往不在判断逻辑上，而是在数据层或者中间件的执行时机。

最容易忽略的一点是：ThinkPHP中间件默认不访问模型。如果在中间件里用UserModel::find($uid)，但没提前初始化数据库连接（比如用的是Db::name()而非模型），可能因为连接未启动而查不到is_super字段。

检查一下用户信息是不是从Session或Token解析来的，而不是每次都去查数据库。如果从Session取，确保登录时已经把is_super写入了session，别只存id和username。

在中间件里，不要用$this->app->make(UserModel::class)来获取模型实例。ThinkPHP 6.1以上版本推荐直接依赖注入，或者用think\facade\Db配合原生SQL查关键字段，这样既快又稳。

如果用了JWT或自定义token，解析后得到的用户数据里必须包含is_super字段。中间件里判断条件写成if (isset($user['is_super']) && $user['is_super'])，别只判== 1，因为数据库里可能是tinyint(1)或者enum。

权限系统真正的复杂点从来不在“怎么写”，而在于“谁在什么时候改了哪张表的哪个字段”。上线之前，务必用非超管账号跑一遍全链路，尤其要测试新增菜单、调整角色、切换应用这三类操作后的实时生效性。