Laravel - Controller 在执行中间件之前注入依赖

Question

所以我创建了一个中间件来限制连接用户可以访问的数据，方法是根据一些信息添加全局范围：

public function handle(Request $request, Closure $next)
    {
          if (auth()->user()?->organization_id) {
              User::addGlobalScope(new OrganizationScope(auth()->user()->organization));
          }

        return $next($request);
    }

中间件被添加到 Kernel.php 中的'auth.group'中间件组中，它在Kernel.php中web.php ：

Route::middleware(['auth.group'])->group(function () {
  Route::resource('users', UserController::class);
});

然后在 controller 中，我希望用户在尝试查看他无权访问的用户的页面时获得 404。 但是$user是在中间件应用全局范围之前检索到的！

public function show(User $user, Request $request) {
  // dd($user); // <= This actually contains the User model! It shouldn't, of course.
  // dd(User::find($user->id)); // <= null, as it should!
}

因此，依赖关系显然是在应用中间件之前计算出来的。 如果我试图将中间件移动到Kernel.php中的'web'组中，那是一样的。 在主$middleware数组中，已验证用户的数据尚不可用。

我发现这个讨论似乎是关于主题的： https://github.com/laravel/framework/issues/44177但可能的解决方案（和泰勒的 PR）似乎指向 controller 本身的解决方案。 不是我想做的，或者我看不出如何适应它。

在此之前，我在Model级别应用全局范围，在booted的 function 中（如文档中所示）。 但是我有很多问题 - 即，从那里访问关系以检查允许或不允许的内容是有问题的，因为关系调用将在 Model 本身中查找某些内容，并表示 model 尚未准备好（这就是重点booted方法，对...）。 例如，检查User model 上已连接用户的关系必须通过直接查询数据库来完成，每次调用 Model 时都会运行...不好。

无论如何，我喜欢中间件方法，因为我认为它也是处理权限的一种干净方式。 有什么推荐吗？

Answer 1

不是推荐，只是我的意见。

这个问题只是因为 Laravel 允许您在 controller 构造函数中添加中间件，这就是为什么它在您的情况下先于中间件计算。

我同意中间件是处理身份验证的一种干净方式，但我也认为你没有完全在你的中间件中进行身份验证，例如，如果你创建一个新路由，你需要在你的新 controller 中添加一些身份验证操作，或者只是将身份验证中间件添加到路由？

如果确实需要向 controller 添加一些内容，这意味着您的身份验证中间件只是将一些权限信息放入全局 scope 并且您正在 controller 中进行身份验证，我认为这是不正确的。

Controller 应该只控制视图逻辑，你应该在你的身份验证中间件中进行完全身份验证，一旦请求传递到你的 controller function 这意味着用户通过了你的身份验证。

例如，如果您授权如下所示的权限，则当您尝试创建新路由时，您可以在 controller 中将授权中间件添加到新路由而无需任何操作。

public function handle(Request $request, Closure $next)
{
    if (auth()->user()->canView($request->route())) { // you should do full auth, not just add informations.
        return $next($request);
    }
    else 
        abort(404);
}