ThinkPHP角色切换后权限未更新，因Auth/Gate缓存未刷新、session未完整更新、数据级权限未同步及用户ID类型不匹配所致；需手动清缓存、重写完整user会话、校验ID类型并统一权限获取入口。
切换角色时权限没变，Auth 或 Gate 仍用旧角色判断
ThinkPHP 默认不会自动重载用户权限上下文。角色切换只是改了 session 里的 role_id 或类似字段，但 Auth 类（或自定义的权限服务）在请求生命周期内已初始化完毕，缓存的权限规则、可访问路由、数据范围等不会自动刷新。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 手动清空权限缓存：调用
Cache::delete('auth_rules_' . $user_id)或你实际存储权限的 key - 重新初始化权限实例：切换后主动 new 一个新
Auth对象，或调用其setUser()方法（如果支持） - 避免复用单例：不要把
Auth实例绑定到容器单例作用域，改用container()->make(Auth::class)每次获取新实例 - 若用 RBAC 扩展包（如
topthink/think-auth），确认它是否监听Auth::switchRole()事件；没有就自己触发event('auth.role_switched', [$newRole])并监听重载
session('user') 更新了，但中间件里还是读到旧角色
常见于自定义权限中间件中直接读取 session('user.role_id')，而切换接口没同步更新整个 user 数组，只改了其中某个字段。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 切换角色时，必须完整重写
session('user')，不只是session(['user.role_id' => $newId]) - 推荐做法：查出新角色对应的所有权限字段（如
role_name、permissions、data_scope），组装成完整数组再session('user', $freshUser) - 中间件里别硬编码读字段，封装成
auth()->getCurrentRole()方法，内部统一从 session 取并做存在性校验 - 注意 session 驱动：如果用了 Redis 或 Memcached，确保切换操作和后续请求落在同一个节点（尤其集群环境）
切换后部分接口 403，但路由和权限表明明已授权
问题常出在「数据级权限」未随角色同步刷新，比如 where 条件绑定的部门 ID、租户 ID 还是旧角色的上下文。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 检查模型全局作用域（Global Scope）：是否在
applyScope()里读了缓存的session('user.department_id')而非实时值 - 数据库查询前加日志：打印实际执行的 SQL，确认
WHERE条件中的角色相关字段是否已更新 - 避免在构造函数或
initialize()中提前读取 session 角色 —— 此时可能还是旧值；改到具体方法内按需读 - 如果用了软删除 + 数据隔离，确认
withTrashed()和withoutGlobalScopes()不会绕过你的角色过滤逻辑
多角色切换时，Auth::check() 返回 true，但 Auth::id() 是 null
这是 ThinkPHP 5.1+ 的典型坑：当 session 中的用户信息结构不标准（比如缺 id 字段，或 id 为字符串但框架期望整型），Auth 类内部会认为用户未登录，导致 id() 失败，但 check() 因 session 存在而返回 true。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 切换角色后立刻 dump
session('user')，确认包含'id' => 123（整型）、'username'、'role_id'等核心字段 - 不要用
session('user', $data)直接塞关联数组，先 unset 再逐字段赋值，或统一走Auth::loginUsingId($id)重登 - 如果用的是自定义 Auth 驱动，检查
getUserId()方法是否对id做了类型转换（例如(int)$user['id']） - 测试时用
dd(auth()->user())而不是dump(session('user'))，前者走完整认证流程，更能暴露问题
