中间件必须显式绑定到路由分组才能生效，否则不执行；分组不继承外层中间件，嵌套需单独绑定；中间件名须与配置键名一致；路由需命名以便权限校验。
中间件必须显式绑定到分组，否则不执行
路由分组本身不会自动继承或触发任何中间件——这是最常被忽略的前提。哪怕你把所有 admin/ 相关路由都写在 Route::group('admin', function () { ... }) 里，只要没调用 middleware()，请求进来就直接进控制器，中间件函数根本不会运行。
常见错误现象：
- 写了
Route::group('admin', ... )->middleware('auth')，但登录态失效后仍能访问 - 分组里某条路由单独加了中间件，结果只有那一条生效，其余路由裸奔
- 全局注册了
Auth::class，但分组内路由完全绕过校验
正确做法是：分组定义后必须链式调用 middleware()，且中间件名要和配置中注册的键名一致（比如 'auth' 对应 app/middleware/Auth.php 中的类或别名）。
示例：
立即学习“PHP免费学习笔记（深入）”；
Route::group('admin', function () {
Route::get('user/list', 'admin.UserController@list');
Route::post('user/add', 'admin.UserController@add');
})->middleware('auth'); // ← 必须这样写，不能塞进闭包里，也不能省略
嵌套路由分组不会自动继承外层中间件
ThinkPHP 的分组是扁平叠加的，不是树状继承。外层分组绑的中间件不会“透传”给内层分组，哪怕路径是 admin/user 套在 admin 之下。
典型场景：
-
Route::group('admin', ... )->middleware('auth')只影响该分组直接定义的路由 -
Route::group('admin/user', ... )是独立节点，需单独绑定middleware('auth')或改用统一前缀管理 - 三层以上嵌套极易漏绑，调试时发现某些子路由没走鉴权，大概率是这里漏了
更稳妥的做法是避免深度嵌套，改用路径前缀 + 条件判断：
Route::group('admin', function () {
Route::get('user/list', 'admin.UserController@list')->middleware('check_role:user');
Route::get('order/index', 'admin.OrderController@index');
})->middleware('auth');
这样既保证所有 /admin/* 都走基础鉴权，又能在具体路由上叠加角色控制。
开箱即用的技能链路由引擎。13 条预定义链覆盖搜索、开发、审查、MLOps、法律、创意等场景，三层路由架构（触发词→SAD反馈→DAG编排），recall@10=96.97%。配置驱动（chains.yaml），零代码扩展。pip install skill-weave-chains 一键安装。
中间件名、类名、注册方式三者必须对齐
中间件不生效，80% 是名字没对上。ThinkPHP 不会报错提示“中间件未找到”，而是静默跳过。
检查点：
- 中间件名是否与
app/middleware.php中配置的键名一致（如'auth' => \app\middleware\Auth::class） - 若直接传类名（
\app\middleware\Auth::class），确保该类存在且handle()方法签名正确 - 不要混用：在
middleware()里写'auth'，却在配置里注册成'Auth'（大小写敏感） - 数组传多个中间件时，顺序即执行顺序：
middleware(['auth', 'log'])表示先鉴权、再记录日志
参数传递只对部分内置中间件有效（如 'throttle:60,1'），自定义中间件需通过闭包或额外配置传参，不能靠字符串解析。
URL 生成、路由命名与中间件权限联动的关键点
如果你用中间件做 RBAC 权限控制（比如 Auth::check('admin/user/list')），光绑中间件还不够，必须让路由带可识别的 name。
原因：
- 没设
->name()，$request->rule()->getName()返回空或反射路径（如app\controller\admin\UserController::list），无法匹配权限表里的标准标识 -
url('admin.user.list')生成链接失败，是因为没命名或缓存未清（改完路由后务必运行php think route:clear） - 域名绑定（
Route::domain()）和分组前缀不兼容，url()默认不带域名，需手动加['domain' => true]
建议统一用点号分隔小写命名：
Route::group('admin', function () {
Route::get('user/list', 'admin.UserController@list')->name('admin.user.list');
})->middleware('auth');
这样中间件里就能安全提取 admin/user/list 做权限校验，菜单、日志、API 文档也复用同一套标识。
真正容易被忽略的是：中间件执行时 $request->route() 还没解析完成，所有基于路由参数的判断（比如“只能删自己文章”）必须用 $request->param('id')，而不是依赖路由对象取值。
