ThinkPHP 5.1无内置授权系统，授权单元测试实为验证自定义权限逻辑：需明确定位授权点（如中间件、控制器）、构造可控用户上下文、重点断言非法操作被拒绝（如403），并确保数据库隔离。
ThinkPHP 5.1 本身不内置“授权单元测试”这一专用概念，也没有类似 Laravel 的 can()/Gate 授权系统。它的权限控制通常由开发者自行实现（如基于角色的 RBAC、中间件判断、或自定义 Auth 类），因此所谓“添加授权单元测试”，本质是对你自己写的授权逻辑做行为验证——不是测框架功能，而是测你写的判断是否可靠。
关键在于三点：明确授权点、构造受控上下文、用真实请求+断言验证结果。
✅ 明确你的授权逻辑落在哪里
常见位置有：
- 控制器方法开头的手动检查（如
if (!auth()->user()->can('delete_user')) { abort(403); }） - 自定义中间件（如
CheckPermission） - 模型中的作用域或静态方法（如
User::canDelete($id)） - 独立的权限服务类（如
PermissionService::check($user, $action, $resource)）
先定位代码，再决定测哪一层。推荐优先测中间件和控制器入口，因为它们是请求链路的第一道闸口。
立即学习“PHP免费学习笔记（深入）”；
✅ 构造可预测的授权环境
TP5.1 没有内置用户登录态自动注入，测试时需手动模拟：
// 在测试方法中设置登录用户（假设你用的是 think-auth 或自定义 Auth）
$user = User::find(1);
Auth::login($user); // 或 Session::set('user', $user->toArray());
// 如果权限依赖角色/权限表，确保数据库中有对应数据
$this->seedPermissions(); // 自己写个辅助方法插入 role_permissions 等记录⚠️ 注意：不要在测试间共享 session 或 auth 实例。每次 setUp() 中重置：
protected function setUp(): void
{
parent::setUp();
Auth::logout(); // 或清除 session
\think\facade\Session::clear();
}✅ 编写断言：测「拒绝」比测「允许」更重要
授权测试的核心价值，在于确认非法操作真被拦住。例如：
public function test_admin_can_delete_user()
{
$admin = User::where('role', 'admin')->first();
Auth::login($admin);
$response = $this->delete('/admin/users/123');
$this->assertEquals(200, $response->getStatusCode());
}
public function test_normal_user_cannot_delete_user()
{
$user = User::where('role', 'user')->first();
Auth::login($user);
$response = $this->delete('/admin/users/123');
$this->assertEquals(403, $response->getStatusCode()); // 或 302 跳转到登录页
// 也可断言响应内容包含 '无权限' 字样
$this->assertStringContainsString('无权限', $response->getContent());
}如果用的是中间件，还可单独测中间件行为：
public function test_permission_middleware_blocks_unauthorized_request()
{
$request = Request::create('/api/posts', 'POST');
$request->session()->set('user', ['id' => 99, 'role' => 'user']);
$middleware = new CheckPermission('post.create');
$response = $middleware->handle($request, function ($req) {
return response('OK');
});
$this->assertEquals(403, $response->getStatusCode());
}✅ 数据库与状态隔离不能少
授权逻辑常读取数据库（如查角色权限关联表）。务必用内存 SQLite + 事务回滚，避免测试污染：
// 在 TestCase::setUp() 中
Db::connect(['type' => 'sqlite', 'database' => ':memory:']);
Db::execute('CREATE TABLE ...'); // 建好 users, roles, permissions, role_user 等表
$this->seedTestData(); // 插入固定测试数据或者更稳妥地，在每个测试里包事务：
public function test_something()
{
Db::transaction(function () {
// 执行带数据库操作的授权判断
$this->post(...);
});
// 事务自动回滚，无需清理
}不复杂但容易忽略。
