ThinkPHP路由组无自动权限控制，需显式绑定中间件；前缀仅影响URL匹配，不提供安全隔离；中间件应通过$route->getRule()做细粒度判断；命令行和API请求易漏鉴权；嵌套group不继承中间件；路由缓存更新后须手动清除。
路由组怎么配权限前缀才不绕晕
ThinkPHP 的路由组本身不带权限控制能力，group() 只是路径前缀聚合和中间件绑定的容器。想靠它“隔离模块”，必须手动绑定中间件或在闭包里加判断逻辑，否则所有子路由照样能被直接访问。
- 路由组不自动继承控制器/方法的访问控制，
AuthMiddleware必须显式用middleware()绑定到组或具体路由上 - 前缀如
'admin'或'api/v2'仅影响 URL 匹配，和权限无关；别误以为加了前缀就等于“进了安全门” - 如果组内混用开放接口（如登录）和受控接口（如删除用户），得用
only()/except()精确控制中间件作用范围，否则容易把登录页也拦住
Route::group('admin', function () {
Route::get('dashboard', 'Admin/Dashboard/index');
Route::delete('user/:id', 'Admin/User/delete');
})->middleware(AuthMiddleware::class)->except(['login']);
中间件里怎么拿当前路由信息做细粒度判断
AuthMiddleware 执行时，$request->route() 是唯一可靠来源，不能依赖控制器类名或方法名硬编码——路由可能被重写、别名、或者走闭包定义。
-
$route->getRule()返回原始注册规则（如'admin/user/:id'），适合做前缀匹配 -
$route->getController()和$route->getAction()在闭包路由下返回空，不可靠 - 推荐用
$route->getRule()+str_starts_with()判断是否属于某模块区域，比解析控制器路径更稳定
常见错误：在中间件里写 if (strpos($controller, 'Admin\') === 0) —— 路由没走控制器（比如用了闭包或资源路由），这个判断直接失效。
为什么“模块级中间件”常漏掉命令行和 API 请求
console 和 api 场景下，路由组中间件默认不生效：命令行请求不经过 HTTP 路由调度，API 请求若走 Route::rule() 或未注册进组，也会跳过。
开箱即用的技能链路由引擎。13 条预定义链覆盖搜索、开发、审查、MLOps、法律、创意等场景，三层路由架构（触发词→SAD反馈→DAG编排），recall@10=96.97%。配置驱动（chains.yaml），零代码扩展。pip install skill-weave-chains 一键安装。
立即学习“PHP免费学习笔记（深入）”；
- 控制台命令（
php think make:command）完全绕过路由层，权限逻辑得单独塞进命令的handle()里 - API 接口如果用
Route::any()或Route::miss()捕获兜底，不会进入任何路由组，中间件自然不触发 - 多入口（如
api.php和web.php分开定义）时，必须分别给对应路由文件里的组绑定中间件，不能只在web.php配
一个典型坑：后台模块路由组加了鉴权，但导出 Excel 的 /admin/export 接口被写成 Route::get() 却没放进组里，结果谁都能调。
闭包路由里嵌套 group() 容易丢掉中间件继承
ThinkPHP 不支持在闭包内部再调用 Route::group() 并期望父组中间件自动透传——每个 group() 是独立作用域。
- 外层
Route::group('v1', ...)->middleware(A)，内层Route::group('user', ...)不会自动带上 A - 必须显式重复写
->middleware(A)，或改用Route::prefix()配合统一中间件绑定 - 更稳妥的做法是放弃嵌套 group，改用扁平化规则 +
prefix()+ 全局中间件分组配置
// ❌ 错误：内层 group 不继承外层 middleware
Route::group('v1', function () {
Route::group('user', function () {
Route::get('list', 'User/list');
});
})->middleware(ApiAuth::class);
<p>// ✅ 正确：显式传递，或改用 prefix
Route::group('v1/user', function () {
Route::get('list', 'User/list');
})->middleware(ApiAuth::class);</p>实际项目里最常被忽略的，是路由缓存开启后，中间件绑定变更不会自动刷新——改完 middleware() 必须手动执行 php think route:clear，否则旧规则还在跑。
