ThinkPHP权限控制用RBAC模型最稳，核心是auth_rule、auth_role、auth_role_rule三张表+一个中间件；rule_name须与路由完全一致（如admin.user.list），中间件需在路由解析后执行，权限校验应基于Redis缓存（key含role_id），前端需同步rule_name数组控制按钮显隐。
ThinkPHP权限控制用RBAC模型最稳，核心是三张表+一个中间件，不靠第三方包也能跑通。关键不是堆功能，而是把「用户能不能访问这个路由」这件事，在请求进来第一秒就判清楚。
RBAC表结构必须精简，rule_name是命脉
别搞五表七表，三张够用且不易翻车：
-
auth_rule：存所有可鉴权的节点，字段只要id、rule_name（唯一，小写+点号分隔）、title、type（menu/action）、status；rule_name必须和路由定义完全一致，比如
Route::get('admin/user/list', 'UserController@list')，对应节点就是admin.user.list，不能写成user_list或用户列表 -
auth_role：角色表，
id和name即可，别加排序、状态等冗余字段 -
auth_role_rule：中间关联表，
role_id + rule_id联合主键，外键约束必须设好；禁止用JSON或字符串拼接存权限
常见错误：把菜单和操作混在一张表里，或者用中文名做判断依据——中间件根本没法映射路由，一拦就漏。
中间件注册位置决定鉴权成败
中间件必须放在路由解析完成之后、控制器执行之前，否则拿不到真实路由名：
立即学习“PHP免费学习笔记（深入）”；
- 在
app/middleware.php的'http' => []数组中，把它加在SessionInit::class之后、其他鉴权中间件之前 - handle方法里第一件事是
$request->rule()->getName()，拿到的是admin/user/edit这类规则名；别用$request->url()或拼controller.action，大小写和资源路由会出错 - 游客未登录直接重定向；超管（
is_super = 1）跳过全部校验；其他人走权限服务校验
权限校验别查库，缓存要带role_id粒度
每次请求都查数据库？性能直接崩。正确做法是「按需查 + 缓存兜底」：
- 先从Redis取
auth_rule_map_{$roleId}，里面存该角色所有rule_name的集合（可用SMEMBERS） - 缓存没命中，才查
auth_role_rule关联auth_rule生成列表，并写入缓存，过期时间设30分钟 - 用户改权限或分配新角色时，必须主动删掉对应
auth_rule_map_{$roleId}缓存，否则权限变更不生效
切记：缓存key必须带role_id，不能只缓存全量节点。A角色删了权限，B角色缓存还在，就等于开了后门。
按钮级权限前端也要同步，不能只靠后端拦
后端拦截接口只是底线，前端该藏的按钮还得藏干净：
- 登录成功后，后端返回当前用户拥有的全部
rule_name数组（如['admin.user.list', 'admin.user.edit']） - 前端用这个数组控制按钮显隐，比如
v-if="userRules.includes('admin.user.delete')" - layui表格的工具栏、操作列，用
templet配合判断逻辑渲染；Vue项目同理
前后端权限点必须严格对齐，否则会出现「按钮点了没反应」或「403但页面没提示」的情况。
