ThinkPHP7比原生PHP更容易实现权限控制，因其内置中间件机制、RBAC抽象层、路由绑定权限码能力及Redis缓存集成；原生需手写拦截逻辑、维护三级表结构、解决JWT与Session冲突，且权限校验易遗漏或性能失控。
ThinkPHP7比原生PHP更容易实现权限控制，是因为它内置了中间件机制、RBAC模型抽象层、数据库驱动的权限校验钩子，以及与路由强绑定的权限码映射能力——而原生PHP需从零手写拦截逻辑、维护缓存一致性、设计三级关联表结构，并自行解决JWT无状态鉴权与Session混用冲突问题。
权限校验位置天然解耦
ThinkPHP7把权限判断强制落在中间件中，请求进入控制器前就完成裁决；原生PHP没有统一入口，开发者常把if (hasPermission())写进每个控制器方法，漏加一处就等于开一个后门。
在app/middleware/PermissionCheck.php里定义handle()方法，调用$this->authService->check($request->rule()->getName(), $userId)即可完成校验；原生项目若想做到同等效果，得自己实现一个类似Laravel Pipeline的请求管道，还要处理$next回调链和异常中断。
【中间件注册必须显式绑定到路由组，否则全局中间件无法捕获API路由】
立即学习“PHP免费学习笔记（深入）”；
权限码与路由自动对齐
方法一：路由定义时直接绑定权限码
Route::post('admin/article/delete', 'ArticleController@delete')->option(['permission' => 'article:delete']);
框架会自动将option中的permission提取为$request->permission，中间件无需解析URL或动作名。
方法二：启用路由命名+规则映射
给路由起名Route::post(...)->name('admin.article.delete');再在中间件中调$this->parsePermissionFromRouteName($request->route()->getName())，自动转成article:delete格式。
原生PHP没有路由命名机制，只能靠parse_url($_SERVER['REQUEST_URI']) + explode('/', ...)硬拆，一旦后台改了URL路径，所有权限判断立即失效。
数据库权限查询性能可控
第一步：创建auth_rule表，字段包括id、rule_code（加唯一索引）、rule_type、created_at
第二步：中间件中使用Redis缓存角色权限集合，key为role_permissions_.$roleId，值为SMEMBERS存储的rule_code数组
第三步：权限变更时执行Redis::del('role_permissions_'.$roleId)，确保新权限秒级生效
这一步操作起来很简单，直接调$redis->sMembers('role_permissions_'.$roleId)就能拿到当前角色全部权限码；但原生PHP若没引入Redis扩展，或忘记删缓存，用户分配新权限后刷新十次页面仍提示403。
原生项目常犯的错是把权限查库逻辑塞进每次请求的include文件里，高峰期单接口触发3次JOIN查询，DB CPU直接冲到95%。
API场景下权限源可切换
ThinkPHP7中间件能根据请求头自动识别认证方式：含Authorization: Bearer开头则从JWT payload取uid和role_id；无该头则走Session读取；【禁止在API中间件中调用Auth::check()，它依赖Session且返回恒为false】
原生PHP没有payload解析封装，开发者常手写base64_decode(explode('.', $_SERVER['HTTP_AUTHORIZATION'])[1])，既不校验签名也不处理过期，等于裸奔。
JWT解析后，直接用$payload['permissions']或查库比对rule_code，整个流程不碰$_SESSION、不依赖PHPSESSID Cookie。
