Webman中间件必须实现MiddlewareInterface接口且process方法返回Webman\Http\Response实例，否则静默失效；$request->controller和$_SESSION等变量非全程可用，需判空或确保前置中间件已初始化。
Webman中间件必须实现MiddlewareInterface接口
Webman不认普通函数或没实现接口的类，process方法签名和返回值类型是硬性要求。漏掉use Webman\MiddlewareInterface或返回非Response对象，中间件直接静默失效。
- 必须返回
Webman\Http\Response实例，不能只echo或return数组 -
$handler参数是下一个中间件或控制器，不是$next，别照搬Laravel写法 - 构造函数里不能依赖
Request或Session——此时请求还没完全初始化 - 若需提前终止，用
return response()->json([...], 401)或redirect('/login')，别die或exit
怎么在中间件里拿到控制器和方法名
Webman把路由解析结果挂到$request上，但字段名不是controller/action，而是$request->controller和$request->action——这两个属性只在匹配到路由后才存在，未命中时为null。
- 先判空：
if (!$request->controller || !$request->action) { return $handler($request); } - 白名单控制：用
in_array($request->controller, ['app\controller\AdminController'])比硬编码路径更可靠 - 方法级放行：比如
AdminController::index允许游客访问，可加if ($request->action === 'index') { return $handler($request); } - 注意命名空间要完整，
AdminController和app\controller\AdminController是两回事
权限验证前必须确保用户已登录
Webman本身不带认证模块，$_SESSION['user']得自己设，且中间件执行顺序决定能否取到值。常见错误是权限中间件注册在认证中间件之前，导致$_SESSION['user']还是空。
- 认证中间件（如
LoginCheck）必须在config/middleware.php里排在权限中间件前面 - 登录成功后务必写入
$_SESSION['user'] = ['id' => 123, 'role' => 'admin']，别只存ID - 权限中间件里别重复查数据库，直接读
$_SESSION['user']['role']或预加载的权限列表 - 会话过期时，
$_SESSION可能还在但用户数据无效，建议加时间戳校验
路由分组绑定中间件比全局注册更安全
把权限中间件写进config/middleware.php全局数组，会拦截所有请求——包括/static/css/app.css这种静态资源，反而引发404或权限误判。
立即学习“PHP免费学习笔记（深入）”；
- 改用路由分组：
Route::group(['middleware' => ['auth']], function () { ... }) - 或单个路由绑定：
Route::get('/admin/users', 'Admin/UserController@index')->middleware('auth') - 静态资源路径建议统一加
/static/前缀，并在Nginx/Apache里直接绕过PHP处理 - 如果必须全局注册，中间件开头加路径过滤：
$path = $request->path(); if (str_starts_with($path, '/static/') || $path === '/login') { return $handler($request); }
$request->controller和$_SESSION都不是全程可用，任何假设它们“一定存在”的逻辑，上线后大概率在某个边缘路径下崩掉。 
