Laravel 9.x权限校验中间件需确保时机、参数、逻辑对齐：先注册在auth之后，用$request->user()避免null，接收可变权限参数，调用canAny校验并返回JSON响应，仅做准入控制，不处理模型实例级业务逻辑。
直接写一个能用的权限校验中间件，关键不是堆功能，而是把时机、参数、校验逻辑三者对齐。Laravel 9.x 的中间件机制本身很轻量，重点是别在错误的位置调用 Auth::user()，也别把模型级细粒度判断塞进中间件里。
基础结构：创建并注册中间件
运行命令生成文件：
php artisan make:middleware CheckPermission
打开 app/Http/Middleware/CheckPermission.php，确保 handle 方法签名正确，含 Closure $next 参数：
- 必须声明第二个参数为 Closure $next，否则请求链中断
- 不要在中间件顶部就调用 Auth::user() —— 若它返回 null，大概率是中间件注册位置太靠前，还没过 auth 中间件
- 推荐把它放在 app/Http/Kernel.php 的 $middlewareGroups['web'] 数组靠后位置（比如 auth 和 bindings 之后）
核心逻辑：支持单权限或多个权限校验
中间件应接收权限名（字符串或数组），并使用用户模型原生的 can() 方法校验（Laravel 9.x 默认已启用）：
public function handle($request, Closure $next, ...$permissions)
{
$user = $request->user();
if (!$user) {
return response()->json(['message' => 'Unauthenticated'], 401);
}
if (!$user->canAny($permissions)) {
return response()->json(['message' => 'Forbidden'], 403);
}
return $next($request);
}
- 用 ...$permissions 接收可变参数，兼容
middleware('permission:edit-post')和middleware('permission:edit-post,delete-post') - 调用 $user->canAny() 而非 can()，避免只传一个权限时还要手动转数组
- 返回 JSON 响应适用于 API；若用于 Web 页面，可改用
return redirect('home')->with('error', '无权访问')
注册与使用：绑定别名并应用到路由
在 app/Http/Kernel.php 的 $routeMiddleware 数组中注册别名：
'permission' => \App\Http\Middleware\CheckPermission::class,
然后在路由中使用：
- 单权限：
Route::get('/posts/{id}/edit', [PostController::class, 'edit'])->middleware('permission:edit-post'); - 多权限（满足其一即可）：
->middleware('permission:edit-post,delete-post'); - 配合模型绑定时，确保权限名与 Gate 定义一致，例如 Gate::define('edit-post', ...)
注意边界：什么不该放中间件里
中间件只做“准入控制”，不处理具体业务规则：
- ✅ 适合：用户是否拥有 edit-post 这个通用权限
- ❌ 不适合：用户能否编辑这篇特定文章（涉及 $post 实例的归属判断）—— 这该交给 Policy 或控制器里的
$this->authorize('update', $post) - ❌ 不适合：从 request body 解析 ID 再查库验证（如 POST /posts/123/ban）—— 中间件无法可靠获取 body 数据，且破坏了职责分离
