控制器内不直接使用中间件，必须在路由层注册；推荐方式包括路由定义绑定、构造函数统一设置；禁用方法内硬编码逻辑，可用模型绑定或请求验证替代简单预处理。
控制器内不直接“使用”中间件——中间件是作用于请求生命周期的过滤层，必须在路由层注册，而非在控制器方法内部调用。但你可以通过多种方式将中间件与控制器紧密关联，实现权限控制、数据预加载、日志记录等目标。
在路由定义中为控制器方法绑定中间件
这是最标准、最推荐的方式。你不需要在控制器里写任何中间件逻辑，只需在 routes/web.php 或 routes/api.php 中为控制器动作指定中间件：
- 单个方法绑定：
Route::get('/user/{id}', [UserController::class, 'show'])->middleware('auth', 'verified'); - 带参数的中间件：
Route::get('/admin', [AdminController::class, 'index'])->middleware('role:admin'); - 仅对部分方法生效（配合资源控制器）：
Route::resource('posts', PostController::class)->only(['index', 'show'])->middleware('cache.headers:public;max_age=3600');
在控制器构造函数中统一设置中间件
适用于整个控制器都需要相同中间件的情况，避免每个路由重复写。在控制器的 __construct() 方法中调用 $this->middleware()：
-
$this->middleware('auth');—— 应用于所有方法 -
$this->middleware('throttle:60,1')->only(['store', 'update']);—— 仅限指定方法 -
$this->middleware('role:editor')->except(['index', 'show']);—— 排除某些方法
注意：这种方式仍是在路由解析阶段生效，不是运行时动态调用；它本质是 Laravel 在底层帮你批量注册了对应路由中间件。
在控制器方法中手动触发中间件逻辑（不推荐）
虽然技术上可以复制中间件里的判断逻辑（比如检查角色、重定向），但这违背中间件的设计初衷，会导致重复代码、权限分散、难以维护。例如：
❌ 不推荐写法：public function edit(Request $request, $id)
{
if ($request->user()->role !== 'admin') {
abort(403);
}
// …
}
✅ 正确做法是把这段逻辑抽成中间件（如 CheckRole），再通过路由或构造函数绑定。
结合依赖注入做轻量级预处理（替代简单中间件）
如果只是需要在控制器方法执行前获取某个模型或校验某项数据，可利用 Laravel 的隐式/显式模型绑定或请求验证，比写中间件更简洁：
- 隐式绑定自动查模型：
public function show(User $user) { ... } - 自定义解析逻辑（在
boot()中注册绑定）：Route::model('post', Post::class); - 请求类验证：
public function store(StorePostRequest $request) { ... }—— 自动失败返回 422
这类机制已覆盖很多原本需中间件完成的前置工作，无需额外中间件介入。
