必须选用策略驱动方案避开手写RBAC风险；ThinkPHP8执行php think rbac:install建五表，用@auth注解+AuthMiddleware拦截，但按钮权限需模板中手动调Auth::check()。
要在PHP项目中快速落地可审计、可扩展的权限控制，必须避开手写RBAC中间件带来的缓存失效、角色继承断裂、字段级控制缺失等隐性风险，直接选用具备策略驱动能力的成熟方案。
ThinkPHP 8 内置RBAC模块怎么用
第一步：执行命令行初始化权限表结构 → php think rbac:install
这一步会自动生成user、role、permission、role_user、role_permission五张表，比传统三表多出角色与用户、角色与权限的关联表，为后续支持多角色、权限继承打下基础。
第二步：在控制器方法顶部添加@auth注解，例如：/** @auth('user.delete') */ public function delete() { ... }
立即学习“PHP免费学习笔记（深入）”；
第三步：配置app/middleware/AuthMiddleware.php启用路由拦截，但【注意：该中间件默认不校验按钮级权限，需手动在模板中调用Auth::check('user.edit')判断显隐】
Laravel + PHP-Casbin 实现动态策略授权
方法一：安装适配器 → composer require php-casbin/laravel-authz
方法二：发布配置和迁移 → php artisan vendor:publish --provider="Casbin\LaravelAuthz\AuthzServiceProvider"
方法三：把权限规则写进数据库而不是CSV文件，执行迁移后，所有策略自动存入casbin_rule表，每条记录形如 p, admin, /api/users, GET, allow —— 修改权限无需重启服务，改完即生效。
这一步操作起来很简单，直接在后台管理界面增删策略行就行，但【删除策略前务必确认无其他角色复用该行rule_id，否则会导致越权】
Yii 3 的RBAC权限系统开箱即用流程
① 运行gii生成器 → 在浏览器访问 /gii/rbac，填入角色名（如editor）、权限名（如post.update）、分配关系（editor → post.update）
② 自动生成AuthManager配置和migration文件，执行php yii migrate
③ 在控制器中调用Yii::$app->user->can('post.update')即可完成校验
④ 如需支持条件表达式（例如只允许编辑自己发布的文章），在权限定义里写：return $params['post']->created_by === Yii::$app->id;
Yii 3 的RBAC天生支持参数化权限检查，不用像ThinkPHP那样在控制器里硬编码if逻辑，也不用像Laravel Gate那样分散定义规则。
