Laravel9.x怎么写权限校验中间件-php教程-PHP中文网

Laravel 9.x权限校验中间件需确保时机、参数、逻辑对齐：先注册在auth之后，用$request->user()避免null，接收可变权限参数，调用canAny校验并返回JSON响应，仅做准入控制，不处理模型实例级业务逻辑。

laravel9.x怎么写权限校验中间件

直接写一个能用的权限校验中间件，关键不是堆功能，而是把时机、参数、校验逻辑三者对齐。Laravel 9.x 的中间件机制本身很轻量，重点是别在错误的位置调用 Auth::user()，也别把模型级细粒度判断塞进中间件里。

基础结构：创建并注册中间件

运行命令生成文件：

php artisan make:middleware CheckPermission

打开 app/Http/Middleware/CheckPermission.php，确保 handle 方法签名正确，含 Closure $next 参数：

必须声明第二个参数为 Closure $next，否则请求链中断
不要在中间件顶部就调用 Auth::user() —— 若它返回 null，大概率是中间件注册位置太靠前，还没过 auth 中间件
推荐把它放在 app/Http/Kernel.php 的 $middlewareGroups['web'] 数组靠后位置（比如 auth 和 bindings 之后）

核心逻辑：支持单权限或多个权限校验

中间件应接收权限名（字符串或数组），并使用用户模型原生的 can() 方法校验（Laravel 9.x 默认已启用）：

laravel-specialist

精通 Laravel 10+，遵循现代 PHP 实践的 Laravel 专家。擅长优雅语法、Eloquent ORM、队列系统及企业级特性...

下载

public function handle($request, Closure $next, ...$permissions)
{
    $user = $request->user();
    if (!$user) {
        return response()->json(['message' => 'Unauthenticated'], 401);
    }

    if (!$user->canAny($permissions)) {
        return response()->json(['message' => 'Forbidden'], 403);
    }

    return $next($request);
}

用 ...$permissions 接收可变参数，兼容 middleware('permission:edit-post') 和 middleware('permission:edit-post,delete-post')
调用 $user->canAny() 而非 can()，避免只传一个权限时还要手动转数组
返回 JSON 响应适用于 API；若用于 Web 页面，可改用 return redirect('home')->with('error', '无权访问')

注册与使用：绑定别名并应用到路由

在 app/Http/Kernel.php 的 $routeMiddleware 数组中注册别名：

'permission' => \App\Http\Middleware\CheckPermission::class,

然后在路由中使用：

单权限：Route::get('/posts/{id}/edit', [PostController::class, 'edit'])->middleware('permission:edit-post');
多权限（满足其一即可）：->middleware('permission:edit-post,delete-post');
配合模型绑定时，确保权限名与 Gate 定义一致，例如 Gate::define('edit-post', ...)

注意边界：什么不该放中间件里

中间件只做“准入控制”，不处理具体业务规则：

✅ 适合：用户是否拥有 edit-post 这个通用权限
❌ 不适合：用户能否编辑这篇特定文章（涉及 $post 实例的归属判断）—— 这该交给 Policy 或控制器里的 $this->authorize('update', $post)
❌ 不适合：从 request body 解析 ID 再查库验证（如 POST /posts/123/ban）—— 中间件无法可靠获取 body 数据，且破坏了职责分离