闭包中间件通过接收$request和$next参数实现请求拦截与响应修改，采用洋葱模型调度，支持鉴权校验、响应头注入、Body重写等轻量灵活功能。
如果您在PHP中需要对HTTP请求进行动态拦截或在响应发出前修改内容，但又不依赖框架的类结构，闭包方式提供了一种轻量、灵活且可组合的实现路径。以下是利用闭包构建中间件链的具体方法：
一、理解闭包中间件的核心执行模型
闭包中间件本质是接收$request和$next两个参数，并返回$response的匿名函数。其关键在于：$next本身是一个可调用对象，代表后续中间件或最终处理器；是否调用$next决定流程是否继续，不调用则实现立即拦截；调用时传入修改后的$request可实现请求预处理；对$next返回的$response做操作则完成响应后置修改。
1、定义统一的$request结构，例如使用关联数组封装$_GET、$_POST、headers等原始数据。
2、确保每个闭包中间件都显式return响应值，避免void导致链断裂。
立即学习“PHP免费学习笔记（深入）”；
3、将最终业务逻辑封装为一个末端闭包，作为$next调用链的终止点。
二、手写pipe调度器实现洋葱模型调用
调度器需将多个闭包中间件按注册顺序组装成递归调用链，使前置逻辑在$next之前执行、后置逻辑在$next之后执行，形成典型的“洋葱模型”。array_reverse配合闭包递归是实现该模型的最小可行方案。
1、将中间件数组反转，使最先注册的中间件位于栈顶，便于首次调用。
2、构造初始$next闭包，内部检查栈是否为空：若空则直接返回$request（作为默认响应）；否则弹出一个中间件并调用它。
3、每个中间件执行时，接收当前$request与该动态生成的$next，从而形成嵌套调用关系。
4、在任意中间件中直接return响应数组（如['status' => 403, 'body' => 'Forbidden']），即可中断整个调用链，阻止后续中间件及业务逻辑执行。
三、实现请求头校验与提前终止
此方法用于在路由分发前验证客户端身份或权限，适用于API密钥、Token等轻量鉴权场景。通过解析请求头并判断有效性，可在不进入控制器前拒绝非法请求。
1、从$request中提取'X-Api-Key'字段值，使用filter_var进行基础格式校验。
2、查询白名单数组或缓存存储，确认该key是否有效且未过期。
3、若校验失败，立即返回['status' => 401, 'body' => 'Invalid API Key']，不调用$next。
4、若校验通过，将清洗后的$key注入$request['auth_key']，再调用$next($request)继续流程。
四、注入通用响应头与Body包装
此方法用于统一添加CORS头、X-Frame-Options、Content-Security-Policy等安全头，或对响应正文进行JSON封装、日志标记等后置增强。必须在$next执行完成后再操作$response，确保原始业务输出已生成。
1、调用$next($request)获取原始$response数组或字符串。
2、检查$response是否为数组且含'status'和'body'键，否则视为原始字符串响应。
3、向$response['headers']中追加['Access-Control-Allow-Origin' => '*']等标准头信息。
4、若响应为字符串，将其包裹为['status' => 200, 'body' => $response]结构，保持格式统一。
5、最终返回修改后的$response，确保所有中间件共享同一响应结构。
五、捕获并重写响应Body内容
当需要动态替换HTML响应中的占位符（如版本号、环境标识）、注入脚本标签或过滤敏感词时，需在响应生成后、发送前介入。该操作仅适用于文本型响应，须避免对二进制内容误处理。
1、判断$response是否为数组且包含'body'键，且$content_type为text/html或application/json。
2、将$response['body']赋值给局部变量$content，防止直接修改原结构引发不可预期行为。
3、使用str_replace批量替换预设关键词，例如将'{{VERSION}}'替换为APP_VERSION常量值。
4、若启用调试模式，在
末尾插入<script>console.log('Env: dev');</script>代码段。5、将处理后的$content重新赋值给$response['body']，并返回该$response，确保原始响应体被安全覆盖。
