ThinkPHP5.0无内置授权模块，需通过路由绑定、中间件鉴权、控制器行级校验及会话加固四层协同实现访问控制：禁用隐式路由、显式定义admin路由；在路由组绑定AuthCheck中间件校验token、IP、角色白名单；控制器内调用数据库驱动的Auth::can()做操作级判断；并启用Redis Session、重置Session ID、敏感操作二次验证。
ThinkPHP5.0本身不内置“授权系统”模块，所谓“添加授权安全加固”，实质是构建一套**访问控制机制（Access Control）+ 权限验证流程 + 安全边界防护**，防止未授权访问后台、API或敏感操作。这不是加一个开关就能生效的功能，而是需从路由、中间件、模型层和会话管理四方面协同落地。
一、强制路由绑定与入口隔离
避免攻击者绕过登录直接访问控制器方法：
- 在application/route.php中禁用隐式路由：Route::rule('admin/:controller/:action', 'admin/:controller/:action')->deny();（拒绝所有未显式声明的/admin路径）
- 为每个后台接口单独定义显式路由，例如：Route::get('admin/user/list', 'admin/user.getList');
- 删除或重命名默认入口文件外的备用入口（如admin.php、manage.php），防止被暴力探测
二、中间件实现统一权限校验
在application/middleware.php中注册全局或分组中间件：
- 新建app/middleware/AuthCheck.php，检查session中是否存在有效admin_token和role_id
- 对admin路由分组启用该中间件：Route::group('admin', ['middleware' => 'AuthCheck'])->rule(...);
- 校验逻辑必须包含：token是否过期、IP是否变更、用户状态是否启用、当前请求控制器/方法是否在该角色白名单内（建议查数据库配置表，而非硬编码）
三、控制器层做细粒度操作授权
路由和中间件只管“能不能进”，具体“能不能删/改/导出”需在控制器动作内二次确认：
立即学习“PHP免费学习笔记（深入）”；
- 在控制器方法开头调用权限服务：if (!Auth::can('user', 'delete')) { $this->error('无权执行删除操作'); }
- 权限判断依据应来自数据库配置（如auth_rules表），字段含role_id、module、action、allow
- 禁止用$_GET['id']直接传参执行删除，必须先查记录归属（如where('id', $id)->where('admin_id', session('uid'))）
四、关键资源与会话加固
授权机制失效常因底层支撑被绕过：
- 关闭调试模式：APP_DEBUG=false，防止错误信息泄露session路径或数据库结构
- Session存储改用Redis并设置过期时间：session_type=redis、session_expire=1800（30分钟）
- 登录成功后重置session ID：session_regenerate_id(true);，防范会话固定攻击
- 敏感操作（如密码修改、权限变更）要求二次验证（短信/邮箱/图形验证码），不单靠session
