Auth中间件需手动引入扩展、配置数据库、注册并绑定，缺一不可；类不存在需确认安装与命名空间；挂载须显式配置全局/路由/控制器级；权限失败多因规则名与路由不匹配或数据状态异常。
Auth 中间件不是开箱即用的内置组件，必须手动引入扩展、配置数据库表、注册中间件并绑定到路由或控制器，缺一不可。
Auth 类不存在？先确认是否已安装扩展
ThinkPHP5 官方不自带 Auth 权限类，常见的是社区维护的 thinkphp5-auth 扩展（如 topthink/think-auth）或自定义实现。直接写 app\http\middleware\Auth::class 会报 Class not found 错误。
- 检查
app\http\middleware\Auth.php是否真实存在，且命名空间为app\http\middleware - 若使用第三方扩展，需通过 Composer 安装，并在
config/auth.php中配置表名、字段等；未配置时即使类存在，Auth实例初始化也会失败 - 部分项目把
Auth放在app\common\auth\下，此时中间件注册必须写全路径：app\common\auth\Auth::class，不能只写字符串'Auth'
中间件注册后不生效？检查挂载位置和方式
Auth 中间件必须显式挂载，不会自动拦截所有请求。挂载点不同，作用域和执行时机也不同：
- 全局挂载：在
app/middleware.php返回数组中添加app\http\middleware\Auth::class—— 对所有 HTTP 请求生效，但无法按路由/控制器差异化控制 - 路由级挂载：在
route/app.php中用->middleware('auth')，前提是已在config/middleware.php中定义别名：'auth' => app\http\middleware\Auth::class - 控制器级挂载：在控制器中定义
protected $middleware = ['auth']，支持条件过滤：['auth' => ['except' => ['login', 'logout']] - 错误示例：
->middleware(['auth'])传数组却只绑一个中间件，语法合法但冗余；更危险的是写成->middleware('Auth')却没在配置里注册别名，直接触发Middleware not found: Auth
权限判断始终失败？重点查数据库字段和规则匹配逻辑
Auth 中间件内部通常依赖数据库查询用户组、规则和访问路径的映射关系。常见失效原因不是代码问题，而是数据层错位：
立即学习“PHP免费学习笔记（深入）”；
-
auth_rule.name字段必须严格匹配当前请求路由，例如规则写admin/article/edit，但实际访问的是admin/article/edit/123或带 GET 参数的 URL，就会匹配失败——建议用正则规则或通配符（如admin/article/*），而非硬编码完整路径 - 用户未正确关联用户组：检查
auth_group_access表中uid和group_id是否存在对应记录；auth_group.rules字段存的是逗号分隔的auth_rule.id，不是规则名 - 状态字段被忽略：
auth_rule.status和auth_group.status都必须为1，任一为0会导致整条链路跳过验证 - 认证类型配置错误：
auth.auth_type设为2（登录认证）时，Auth 只在登录态建立后才检查权限；若设为1（实时认证），每次请求都查库，但对未登录用户会直接拒绝
handle() 里 return $next($request) 被漏掉，请求就静默中断
这是 Auth 中间件最隐蔽的崩溃点：前置权限校验通过后，若忘记 return $next($request)，整个请求链会在 Auth 层终止，浏览器卡住或返回空白页，日志里甚至没有明显错误提示。
- 正确结构必须是：
if (checkFailed()) { return redirect('/deny'); } return $next($request); - 不能写成：
$next($request);（缺少 return）、return null;或exit;，这些都会让框架收不到响应体 - 如果 Auth 内部调用了
$request->post()或$request->param()，又在后续中间件里重复读取，可能导致参数为空——优先统一用$request->param()，它已被 ThinkPHP 缓存
Auth 的核心复杂度不在代码本身，而在于「规则名」和「当前路由」之间那层映射关系是否可维护。一旦项目开始支持多模块、RESTful 资源路由或闭包路由，硬编码规则字符串很快会失控。真要长期用，得提前设计规则命名规范，比如强制用 模块.控制器.方法 格式，并在中间件里做前缀匹配，而不是指望字符串完全相等。
