ThinkPHP 8 实现 RBAC 授权无需第三方扩展，核心是初始化权限表、控制器方法添加 @auth 注解、启用 AuthMiddleware 中间件；执行 php think rbac:install 生成五张表，支持多角色多权限及状态管理；权限校验以操作粒度（如 user.delete）为单位，前端需手动调用 Auth::check 判断显隐；角色继承需自行扩展 getPermissions 方法并结合 Redis 缓存优化性能。

ThinkPHP 8 实现用户角色授权，核心是基于 RBAC（基于角色的访问控制）模型，通过角色绑定权限、用户绑定角色来完成授权逻辑。整个过程不依赖第三方扩展，官方已提供开箱即用的支持，重点在于初始化、注解标记和中间件启用三个环节。

执行命令初始化权限表结构

TP8 内置了 RBAC 命令行工具，只需一条命令即可生成完整权限数据表：

• 运行 php think rbac:install，自动生成五张表：user、role、permission、role_user、role_permission
• 相比传统三表设计，多出两个关联表，天然支持“一个用户多个角色”“一个角色多个权限”
• 表结构含 status 字段控制启用状态，created_at/updated_at 支持时间追踪，适合生产环境

在控制器方法上标注权限标识

权限校验以“操作粒度”为单位，不是按模块或页面，而是具体到某个行为（如删除用户、导出报表）：

PHP 8.5.12

修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。

下载

• 在控制器方法顶部添加 @auth('user.delete') 注解，其中 user.delete 是权限唯一标识符
• 标识符建议采用小写+点号分隔格式，如 order.create、article.edit、system.log.view
• 该注解本身不生效，需配合启用的权限中间件才触发拦截逻辑

启用并配置权限中间件

权限拦截由 app/middleware/AuthMiddleware.php 承担，但默认未启用，需手动开启：

立即学习“PHP免费学习笔记（深入）”；

• 打开 app/middleware/AuthMiddleware.php，确认类中 enable 属性设为 true
• 确保该中间件已在 app/middleware.php 中注册到全局或分组路由
• 注意：该中间件只拦截控制器方法级权限，按钮、链接、菜单等前端元素需手动调用 Auth::check('xxx') 判断显隐

补充：权限继承与动态更新

若需角色继承（如管理员自动拥有编辑权限），TP8 不内置递归查询，但可自行扩展：

• 在角色模型中增加 getPermissions() 方法，先查本角色权限，再递归查 parent_id 对应角色的权限
• 将结果合并去重后缓存到 Redis，键名为 role_permissions_{role_id}，提升验证性能
• 当修改父角色权限时，主动清除所有子角色缓存，保证实时性