laravel中间件鉴权在php 8下完全兼容且更健壮：一、用内置auth中间件实现基础登录验证；二、推荐spatie/laravel-permission包支持role/permission/role_or_permission三类中间件；三、api场景用sanctum配合auth:sanctum；四、自定义中间件应使用php 8类型提示与early return。
Laravel 中间件鉴权在 PHP 8 环境下完全兼容，且因 PHP 8 的类型声明、联合类型和 Attributes（PHP 8.1+）等特性，反而能写出更健壮、可读性更强的鉴权逻辑。关键不在于 PHP 8 本身“怎么用中间件”，而在于如何在 PHP 8 项目中正确配置、编写和组合 Laravel 中间件实现安全、清晰的鉴权控制。
以下是直接可用的实践要点：
一、基础登录鉴权：用内置 auth 中间件（最简启动）
适用于 Web 页面需登录才访问的场景（如后台首页）。
- 确保
app/Http/Kernel.php的web中间件组已启用\App\Http\Middleware\Authenticate::class（Laravel 默认已配好）； - 路由加中间件即可：
Route::get('/profile', [ProfileController::class, 'show'])->middleware('auth'); - 未登录用户自动跳转到
/login（由RedirectIfAuthenticated控制）； - ✅ PHP 8 提示：
Auth::user()返回?User（可空对象），建议用Auth::user()?->id避免报错。
二、角色/权限控制：推荐 spatie/laravel-permission 包
比手写 CheckRole 更规范、支持缓存、多守卫、数据库级权限管理。
- 安装后发布配置：
php artisan vendor:publish --provider="Spatie\Permission\PermissionServiceProvider"； - 在路由中直接使用包提供的中间件别名：
// 必须是管理员角色 Route::get('/admin', [AdminController::class, 'index'])->middleware('role:admin');
// 必须有 'edit posts' 权限 Route::put('/posts/{id}', [PostController::class, 'update'])->middleware('permission:edit posts');
// 角色或权限任一满足即可（如 admin 或有 publish posts 权限） Route::post('/posts', [PostController::class, 'store'])->middleware('role_or_permission:admin|publish posts');
- ✅ PHP 8 优势：包 v6+ 支持 `BackedEnum` 权限定义，可类型安全地管理权限常量。
<strong>三、API 接口鉴权：Sanctum + api 中间件组</strong>
适用于 Vue/React 前端调用的无状态接口。
- `config/auth.php` 中确认 `'api' => ['driver' => 'sanctum']`；
- `routes/api.php` 中定义路由，并加 `auth:sanctum`：
```php
Route::middleware('auth:sanctum')->group(function () {
Route::get('/user', function (Request $request) {
return $request->user(); // ✅ PHP 8 可加类型提示：function (Request $request): JsonResponse
});
});
- ⚠️ 注意：必须走
api/*路由前缀，否则auth:sanctum不生效；前端需先请求/sanctum/csrf-cookie再登录。
四、自定义中间件：带类型提示与早期返回（PHP 8 推荐写法）
例如限制仅邮箱为公司域名的用户访问：
<?php namespace App\Http\Middleware;
use Closure;
use Illuminate\Http\Request;
use Illuminate\Support\Facades\Auth;
class CompanyEmailOnly
{
public function handle(Request $request, Closure $next): mixed
{
$user = Auth::user();
if (!$user || !str_ends_with($user->email, '@yourcompany.com')) {
abort(403, 'Access denied: company email required.');
}
return $next($request);
}
}
- 注册到
app/Http/Kernel.php的$routeMiddleware：'company.email' => \App\Http\Middleware\CompanyEmailOnly::class,
- 路由使用：
->middleware('company.email')
不复杂但容易忽略：所有中间件逻辑都应在 handle() 方法内完成判断，不要依赖外部 session 或全局变量；PHP 8 的 mixed 返回类型和 ?User 类型提示能帮你提前发现空值风险。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
