thinkphp rbac权限校验失败主因是auth_rule.name与路由名不一致，须严格匹配、区分大小写、禁用模糊匹配；登录后必须调auth::setuser()生成缓存；多角色需手动合并权限；缓存key须含用户维度并及时清理。
权限节点名必须和路由规则名完全一致
ThinkPHP 的 RBAC 权限校验失败，八成是因为 auth_rule.name 和实际路由对不上。它不认模糊匹配、不自动转换分隔符、也不忽略大小写或前后斜杠。
比如你在 route/app.php 里写了：Route::post('admin/user/delete', 'admin.UserController@delete');
对应权限节点名就只能是 admin/user/delete，不是 admin.user.delete、user_delete、/admin/user/delete，更不能是中文“删除用户”。
- 按钮级操作（如删除、导出）必须单独建节点，不能只配到菜单层级
- 带参数的路由如
admin/user/edit/:id，权限名仍为admin/user/edit，冒号后部分不参与匹配 - 多应用模式下（如
admin和api分开），权限名需严格限定在对应应用内，Auth::check('user/delete', $uid, 'admin')中的'admin'不能省
中间件里别直接调 Auth::check() 就完事
Auth::check() 在 TP6/8 中默认只查 session 缓存里的权限列表，而这个缓存只有调用过 Auth::setUser($uid) 才会生成。很多人登录后忘了这一步，中间件一查就返回 false，结果所有接口都 403 却没报错。
- 登录成功后必须立刻执行
Auth::setUser($user['id'])，不能等跳转或进中间件再补 - 中间件中应优先用
$request->rule()->getName()拿当前路由名，而不是拼接$request->param()—— URL 改个参数名，权限就失效 - 如果用了 JWT 或无状态登录，
Auth类默认机制不适用，得自己重写getUser()方法，从 token 解析 uid，并把权限存到 Redis（键如user_permissions_{$uid}）
多角色权限不能靠 Auth 原生方法合并
ThinkPHP 官方 Auth 类（包括 think-auth）默认只取用户第一个角色的权限，getRoleList() 返回多个角色，check() 内部仍只查第一个 role_id 关联的规则。复合身份（如“运营+审核”）必须自己接管逻辑。
- 别在控制器里反复调
PermissionService::check()，统一收口到中间件 - 查权限时要批量拉取：先查
user_role表拿到全部role_id，再 JOINrole_access和auth_rule，用column('name')直接取出所有启用的name字符串数组 - 缓存 key 必须带用户维度，推荐
user_permissions_{$uid}，别用auth_rule_map_{$roleId}—— 后者只适合单角色场景，多角色下无法覆盖权限叠加 - 加
status = 1过滤，否则禁用的规则也会被命中
数据库表结构别为了“看着全”乱加字段
权限判定只依赖 auth_rule.name 和 type（菜单/操作），其余字段如 sort、remark、condition 全是干扰项。尤其 condition 字段，每次鉴权都会拼 SQL 执行，极易引发注入或全表扫描。
-
auth_rule.pid必须是INT类型且允许为0，否则递归菜单时崩溃 - 角色-用户关系必须走
auth_group_access（或你自定义的user_role），字段名要和配置里'user_id_field'一致，别擅自改成user_id或uid - 需要数据级权限（如“仅能看本部门订单”）？在关联表里加
scope_type和scope_id，别塞进auth_rule的condition里 - Rule 名禁止含空格、中文、特殊符号，
$auth->check('编辑商品')底层会转成不可预测的键，直接查不到
cache('user_permissions_'.$uid, null)，别指望过期时间兜底。php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
