ThinkPHP模块权限控制教程-ThinkPHP-PHP中文网

auth::check()总不生效主因是路由名、权限表字段、中间件执行时机三者未对齐：如auth_rule.name用点号而路由为斜杠、多应用未传参数、中间件在路由匹配前执行致$request->rule()为空。

thinkphp模块权限控制教程

模块权限控制不是靠“加个中间件”就完事的，核心是路由名、权限表字段、中间件执行时机三者对齐。错一个，Auth::check() 就永远返回 false。

最常见原因不是逻辑写错了，而是底层依赖没对上：

Auth::check() 默认查的是 session('think_auth') 缓存，但登录后没调用 Auth::setUser($uid)，缓存压根没生成
权限表 auth_rule.name 填的是 admin.user.list，而路由定义实际是 Route::get('admin/user/list', ...)，Auth 类只认斜杠分隔的 admin/user/list，不认点号
用了多应用（如 admin 和 api），但 Auth::check() 没传第三个参数指定应用名，默认只查 app 应用下的规则
中间件注册位置太靠前，在路由还没匹配完成时就执行了，$request->rule() 为 null，导致取不到路由名

ThinkPHP 的中间件执行顺序直接影响能否拿到路由信息。模块级权限校验必须等路由解析完成才能做判断：

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

中间件类里不能用 $request->url() 或 $request->path() 去拼权限字符串——URL 路径可被重写、带参数、大小写不敏感，不可靠
必须用 $request->rule()->getName() 获取路由规则名，它来自 route/app.php 中定义的完整标识（如 admin/user/list）
在 app/middleware.php 的 'http' 数组中，该中间件要放在 AllowCrossDomain 之后、控制器执行之前，典型位置是倒数第二或第三位
如果用了 Route::group('admin', ...)->middleware(...)，注意 group 绑定的中间件是前置执行，但依然能拿到已匹配的路由规则

权限名不是随便起的别名，它是数据库查询和代码校验的唯一键：

必须与 route/app.php 中路由定义的 action 标识完全一致，包括斜杠方向、有无末尾斜杠（admin/user/list ≠ admin/user/list/）
多应用下必须带前缀，比如 admin/user/list 和 api/v1/order/create，不能共用同一段字符串
不要把 HTTP 方法塞进 name 字段（如 admin/user/list|POST），应在 auth_rule 表单独加 method 字段存 GET/POST
菜单项和操作权限建议用 type 字段区分：menu 用于前端渲染侧边栏，permission 用于后端接口校验，避免混用

权限中间件不是“全量查表”，得短路掉明确场景，否则性能差还容易漏逻辑：

未登录用户（游客）：直接重定向到登录页，别走任何权限查询，if (empty($uid)) { $this->redirect('/login') }
超级管理员（is_super = 1）：直接 return $next($request) 放行，不查表、不校验、不缓存穿透
普通用户：查 auth_group_access 得角色 ID 列表 → 查 role_auth 得权限规则 ID 列表 → 查 auth_rule 得 name 字段 → 与当前路由名比对
别在中间件里手动拼 SQL 或用 whereRaw 带条件查 condition 字段——除非真需要动态数据权限（如“只看自己创建的内容”），否则留空，防注入也防慢查询