ThinkPHP不内置ABAC支持，需手动实现AbacEvaluator类，通过动态解析主体、资源、操作、环境四类属性并匹配策略规则来完成访问控制。
ABAC在ThinkPHP中没有现成的AbacPolicy类或中间件
ThinkPHP官方组件和核心包（包括think-auth、think-permission）只提供RBAC（基于角色）或简单ACL（基于资源+用户ID）支持，不内置ABAC（Attribute-Based Access Control）能力。所谓“动态策略验证”，需自行构建属性提取、策略匹配、决策执行三层逻辑，不能依赖Auth::check()或Gate::allows()直接实现。
必须手动实现策略评估器AbacEvaluator
ABAC的核心是运行时对主体（subject）、资源（resource）、操作（action）、环境（environment）四类属性做布尔表达式求值。ThinkPHP里最可行的方式是封装一个服务类，例如：
class AbacEvaluator
{
public function evaluate(string $action, array $subject, array $resource, array $env = []): bool
{
$policies = $this->loadPolicies(); // 从数据库或配置读取策略规则
foreach ($policies as $policy) {
if ($this->matchPolicy($policy, $subject, $resource, $action, $env)) {
return $policy['effect'] === 'allow';
}
}
return false;
}
<pre class="brush:php;toolbar:false;">private function matchPolicy(array $policy, array $subject, array $resource, string $action, array $env): bool
{
// 示例：要求 subject.department == 'tech' 且 resource.type == 'api' 且 action in ['read','update']
return $subject['department'] ?? '' === ($policy['subject']['department'] ?? '')
&& ($resource['type'] ?? '') === ($policy['resource']['type'] ?? '')
&& in_array($action, $policy['actions'] ?? []);
}}
关键点：
立即学习“PHP免费学习笔记（深入）”；
-
loadPolicies()应缓存策略（如用Cache::remember('abac_policies', 3600, ...)），避免每次请求查库 - 策略存储建议用JSON字段（MySQL 5.7+）或单独表，字段至少含：
subject、resource、actions、effect、condition（用于复杂表达式） - 不要在
matchPolicy里写死字段名，应解析$policy['condition']为可执行逻辑（如用eval()风险高，推荐symfony/expression-language集成）
在控制器中调用需明确传入四类属性，不能只传$user
ThinkPHP默认的$this->auth或Auth::user()只返回用户模型，但ABAC需要结构化属性。常见错误是直接把User::find(1)当$subject传进去，结果策略匹配失败。
正确做法是提前组装：
// 在控制器方法内
$subject = [
'id' => $user->id,
'role' => $user->role,
'department' => $user->department,
'clearance_level' => $user->security_level ?? 0,
'ip' => request()->ip(),
];
<p>$resource = [
'id' => $article->id,
'type' => 'article',
'status' => $article->status,
'owner_id' => $article->user_id,
];</p><p>$env = [
'time' => date('H:i'),
'is_weekday' => date('N') < 6,
];</p><p>if (! app(AbacEvaluator::class)->evaluate('delete', $subject, $resource, $env)) {
throw new HttpException(403, 'Access denied by ABAC policy');
}注意：
-
$subject和$resource必须是数组，不能是对象——否则matchPolicy中的??空合并失效 -
$env中时间、IP等应来自request()或date()，不要从客户端传入，防篡改 - 高频接口（如列表页）建议将ABAC校验下沉到Service层，并复用已查出的
$resource数据，避免重复查询
性能瓶颈常出现在策略加载与表达式解析
ABAC比RBAC慢的本质原因是每次请求都要遍历策略并求值。在ThinkPHP中尤其要注意：
- 策略数量超过50条时，
loadPolicies()必须走Redis缓存，且用HGETALL批量读取，别用多次GET - 若策略含
condition字段（如"user.age >= 18 and resource.is_public == false"），务必用symfony/expression-language而非eval()，否则存在RCE风险 - 不要在
__construct()里预加载所有策略——ThinkPHP容器单例会常驻内存，但策略可能被后台修改，需设置合理缓存过期时间（如300秒） - 调试时开启日志记录匹配耗时：
Log::info('ABAC eval time: ' . (microtime(true) - $start));
真正难的不是写个AbacEvaluator，而是让策略可维护、可审计、不拖垮QPS——属性定义、策略语法、生效范围，都得和业务方对齐清楚，否则上线后连谁该删哪条策略都扯不清。
