ThinkPHP 8.0.2 中间件鉴权失效主因是执行链中断，需从注册、时机、数据流、响应四层面排查：先验证中间件是否加载执行，再确认注册顺序与上下文可用性，接着检查用户身份与权限数据真实性，最后确保响应返回合法Response实例。
ThinkPHP 8.0.2 中间件鉴权失效，通常不是“权限没写对”，而是执行链断在某个隐性环节。排查要从注册、时机、数据流、响应四个层面顺藤摸瓜，不靠猜，靠验证。
确认中间件是否真正加载并执行
这是最常被忽略的第一步。中间件不生效，90% 问题出在这里：
- 检查 app/middleware.php 是否存在、是否返回数组、数组元素是否为完整类名字符串（如 app\middleware\AuthCheck::class），不能是相对路径或缺少命名空间
- 在中间件 handle() 方法第一行加日志：Log::info('AuthCheck triggered');，然后发起一次请求，看日志是否出现——没日志 = 根本没进中间件
- 确认没有手误把中间件类放在子目录（如 app/middleware/auth/AuthCheck.php），TP8 不扫描子目录
- 文件开头不能有 BOM、空格、echo 或任何输出，否则 app/middleware.php 加载失败，整个中间件队列静默失效
验证鉴权逻辑的执行时机是否正确
顺序错，一切白搭。尤其注意路由名和用户上下文的可用性：
- AuthCheck 必须注册在 SessionInit::class 和 AllowCrossDomain::class 之后，但必须在任何已有鉴权中间件（如 CheckAuth::class）之前——否则可能重复拦截或拿不到路由信息
- 在中间件中调用 $request->rule()->getName() 前，先判断 $request->rule() !== null，否则会报 Call to a member function getName() on null
- 不要在构造函数里取用户或 session，__construct() 阶段 $request 尚未绑定上下文；统一用 $request->getAttribute('user')，前提是前置认证中间件已注入
检查用户身份与权限数据是否真实可达
鉴权逻辑写了，但“查不到人”或“查不到权限”等于没写：
立即学习“PHP免费学习笔记（深入）”；
- 若用 JWT：先用 JWTAuth::parseToken()->getPayload() 打印 payload，确认 sub 字段存在且为数字 ID；再查用户模型主键是否为 id，否则需在模型中声明 protected $primaryKey = 'user_id';
- 若用 Session：执行 var_dump(session_status() === PHP_SESSION_ACTIVE)，返回 false 说明 Session 根本没激活，需检查 config/app.php 的 session 配置及中间件顺序
- 权限校验服务（如 AuthService::check()）内部，避免每次查库；应缓存角色权限列表，例如用 Cache::remember("permission_{$roleId}", 3600, fn() => ...)，并设降级策略（如 DB 挂了时读本地配置白名单）
观察响应行为，定位拦截是否生效
返回内容暴露底层逻辑是否走通：
- 鉴权失败时，必须 return 一个 Response 实例（如 json(['code'=>403]) 或 redirect('/login')），不能用 echo/die/exit，否则后续中间件中断且无响应体
- API 请求应返回 JSON，后台页面请求应返回 403 页面——可通过 $request->isAjax() 或 $request->header('accept') 动态判断，避免前端解析失败
- 若返回 404 而非 401/403，大概率是路由未匹配成功，导致 $request->rule() 为空，进而权限校验跳过；检查请求 URL 是否拼写正确、路由是否已定义
