ThinkPHP中中间件不能自动绑定到控制器方法，必须显式声明：控制器内用$middleware属性配合except/only键控制范围，或在路由中为每个方法单独绑定；资源路由需拆解动作逐一配置，不可整体绑定。
中间件怎么绑定到控制器的特定方法上
ThinkPHP 中间件默认不按控制器方法粒度生效，必须显式声明「哪些方法跳过」或「只对哪些方法启用」，否则会作用于整个控制器。关键不是写在控制器里，而是靠路由定义或控制器属性配置来控制。
- 控制器类中用
$middleware属性时，必须配合except或only键：比如['auth' => ['except' => ['login', 'register']]]表示除这两个方法外都走鉴权；['check' => ['only' => ['edit', 'delete']]]表示仅这两个方法启用校验 - 若直接写
protected $middleware = ['Auth']，它会对控制器所有 public 方法生效，没有例外 - 该配置只在控制器被路由匹配到时才加载，不依赖
app/middleware.php全局注册 - 注意命名空间：类名要完整（如
\app\middleware\Auth），字符串简写（如'auth'）需确保已在app/middleware.php中映射
路由级中间件如何精准控制方法范围
资源路由（Route::resource()）不会自动继承控制器的中间件配置，每个动作（index、create、store…）都得单独指定，否则中间件根本不会触发。
- 不要写
Route::resource('user', 'UserController')->middleware('auth')——这只会给index和create加上，其他方法不生效 - 正确做法是拆开：用
Route::get('user', 'UserController@index')->middleware('auth')，再为store单独写Route::post('user', 'UserController@store')->middleware('auth') - 如果想批量处理，可用分组 + 显式 method 绑定：
Route::group(['middleware' => 'auth'], function () { Route::post('user', 'UserController@store'); Route::put('user/:id', 'UserController@update'); }); - 别指望闭包路由能“自动识别方法”——
Route::any('api/user', function () {})->middleware('auth')里的闭包没有方法名，中间件无法做方法级过滤
为什么控制器构造函数里加 middleware 不起作用
在控制器 __construct() 中调用 $this->middleware() 是 ThinkPHP 6+ 的合法方式，但它只对当前控制器有效，且必须满足两个前提：路由已匹配到该控制器，且未被更早的中间件中断。
- 常见失效场景：全局中间件（如日志、跨域）抛出异常或提前返回响应，导致后续控制器构造函数根本没执行
-
$this->middleware('auth')->except(['login'])写法有效，但except列表里的方法名必须和实际 action 方法名完全一致（区分大小写，不含@符号） - 如果用了多应用模式（
app/multi_app开启），控制器中间件必须定义在对应应用目录下，根目录的app/middleware.php不会影响子应用 - 构造函数中注册的中间件，其执行顺序晚于路由中间件，但早于控制器方法本身——适合做请求预处理，不适合做权限兜底（应放在路由层）
中间件方法级控制最容易被忽略的细节
最隐蔽的问题是「中间件类本身没 return 响应」。即使绑定了方法，只要 handle() 最后没明确 return $next($request) 或返回 Response 实例，整个请求链就断了，控制器方法永远不会执行。
立即学习“PHP免费学习笔记（深入）”；
- 检查中间件
handle()方法是否漏掉return，尤其在 if 分支里：比如权限不通过时写了return json(['code'=>403])，但 else 分支忘了return $next($request) - 不要在中间件里调用
$this->redirect()或$this->error()——这些是控制器方法，中间件里只能返回Response对象 - 调试时可在中间件开头加
echo 'in auth'; exit;确认是否进入，但上线前务必删掉，否则破坏响应流程 - TP6.1+ 支持中间件参数传递，如
->middleware('auth:admin')，但接收端必须在handle()第三个参数拿到$params，否则参数丢失
