在ThinkPHP 8.0中需通过安装think-annotation扩展、显式调用AnnotationRoute::init()、定义TARGET_METHOD级Permission属性、编写反射解析中间件并绑定路由，才能实现PHP 8原生Attribute权限控制。
在 ThinkPHP 8.0 中用 PHP 8 原生 Attribute（#[ ]）替代旧版注释式注解（@Get/@Post）实现权限控制，需绕过框架默认不支持类/方法级权限注解的限制，通过自定义属性+中间件+反射解析联动完成细粒度鉴权，否则所有#[Permission]声明将被完全忽略。
安装并启用注解路由扩展
执行 composer require topthink/think-annotation 安装扩展，该包是 TP8 注解能力的唯一入口，不安装则后续所有 #[Route] 或自定义属性均无效。
打开 app/bootstrap.php，在文件末尾添加 AnnotationRoute::init(); —— 这一步【必须显式调用，不能省略】，否则注解扫描器根本不会启动，控制器方法上的任何 Attribute 都不会被读取。
确认 config/annotation.php 中 'route' => ['enable' => true] 已开启，但注意：此配置仅控制路由解析器开关，不代替 init() 调用。
定义权限校验 Attribute
在 app/attribute/ 下新建 Permission.php：
```php
namespace app\attribute;
use Attribute;
#[Attribute(Attribute::TARGET_METHOD)]
class Permission
{
public function __construct(public string $code, public string $message = '无访问权限')
{
}
}
该 Attribute 只允许标注在方法上（TARGET_METHOD），若误标在类或参数上，运行时会直接报错且无法捕获。
编写权限中间件
执行 php think make:middleware CheckPermission 创建中间件。
编辑 app/middleware/CheckPermission.php，在 handle 方法中插入以下逻辑：
```php
use ReflectionMethod;
use app\attribute\Permission;
$action = $request->action();
$controller = $request->controller();
$class = new \ReflectionClass($controller);
$method = $class->getMethod($action);
$permissionAttr = $method->getAttributes(Permission::class);
if (!empty($permissionAttr)) {
$attr = $permissionAttr[0]->newInstance();
if (!AuthRule::check($attr->code, $request->user_id ?? 0)) {
return json(['code' => 403, 'msg' => $attr->message]);
}
}
这里用 $request->user_id ?? 0 提供兜底值，避免未登录用户触发空指针异常；AuthRule::check() 必须是你项目中已实现的权限判断逻辑，不可直接复制粘贴就用。
在控制器方法上标注权限
第一步：在控制器顶部添加命名空间引用：use app\attribute\Permission;
第二步：在目标方法上方紧贴声明处添加注解：
```php
#[Permission('user:delete', '禁止删除用户')]
public function delete($id)
{
return $this->success('删除成功');
}
注意：#[Permission] 必须写在 public 方法上，写在 protected 或 private 方法上会被反射跳过，中间件完全无法获取到该属性。
第三步：将中间件绑定到对应路由或全局中间件组。例如在 route/app.php 中绑定：
```php
return [
'user/delete/:id' => ['app\controller\User@delete', ['middleware' => 'app\middleware\CheckPermission']],
];
强制清除并验证注解生效
① 执行 php think clear:route 清除旧缓存，否则中间件永远拿不到新注入的 Attribute 实例。
② 确保 APP_DEBUG=false，因为 debug 模式下路由缓存被禁用，Attribute 解析逻辑可能被跳过而不报错。
③ 访问对应接口，观察返回是否为 403 或正常响应。若返回 404，说明路由未注册成功，先检查 AnnotationRoute::init() 是否漏写；若返回 200 但权限未拦截，说明中间件未绑定或 AuthRule::check() 返回恒真。
