Laravel中间件构造函数不支持传业务参数，仅支持依赖注入；推荐用闭包式中间件或注册别名后通过handle方法传参，禁用URL或session模拟传参。
中间件构造函数里不能传业务参数
Laravel 中间件的实例由服务容器自动解析，构造函数只支持依赖注入（比如 Request、Response 或自定义服务），不支持运行时传入业务参数（如 $role、$permission）。硬塞参数会报 Target class [App\Http\Middleware\CheckRole] does not exist 或解析失败。
用闭包式中间件传参最直接
在路由定义中用闭包包装中间件，把参数“带进去”。这是官方推荐且最轻量的方式，适合一次性、场景明确的传参：
Route::get('/admin', function () {
return 'admin panel';
})->middleware(function ($request, $next) {
$role = 'editor';
$allowed = in_array($role, ['admin', 'editor']);
return $allowed ? $next($request) : response('Forbidden', 403);
});
- 参数（如
$role）写在闭包内，作用域清晰，无污染 - 避免了新建类、注册别名、配置数组等额外步骤
- 不适合复用频繁或逻辑复杂的场景（此时应走下一节方案）
用中间件参数语法（handle 方法接收）需配合注册别名
Laravel 支持在路由中写 middleware('check.role:admin') 这种形式，但前提是中间件类的 handle 方法第二个参数后能接收字符串参数，且该中间件已在 app/Http/Kernel.php 的 $routeMiddleware 中注册为字符串别名（不是类名全路径）：
// app/Http/Middleware/CheckRole.php
public function handle($request, Closure $next, $requiredRole)
{
if (! $request->user()?->hasRole($requiredRole)) {
return response('Unauthorized', 401);
}
return $next($request);
}
然后确保 app/Http/Kernel.php 中有：
protected $routeMiddleware = [
// ...
'check.role' => \App\Http\Middleware\CheckRole::class,
];
- 参数通过逗号分隔传入：
middleware('check.role:admin,editor')，handle方法对应接收多个形参 - 注意：参数是字符串，不会自动类型转换；多个参数需一一对应形参顺序
- 若忘记在
$routeMiddleware注册别名，会报Undefined index: check.role
不要在中间件里用 request()->query() 或 session() 模拟传参
有人试图把参数塞进 URL 查询串（如 /api/data?_middleware_role=admin）再在中间件里读取，这属于设计倒置：
- 语义混乱：URL 参数属于请求数据，不是中间件控制流的一部分
- 容易被客户端篡改，安全性差
- 无法和路由绑定做静态分析，IDE 不提示，测试难覆盖
- 违反中间件“横切关注点”的定位——它该决定“是否放行”，而不是“从哪读策略”
真正需要动态策略时，应该把判断逻辑上提到 Policy 或 Service 层，中间件只负责调用。
