137 lines
5.8 KiB
Markdown
137 lines
5.8 KiB
Markdown
# F. 中间件执行顺序
|
||
|
||
:::tip 概述
|
||
本页展示请求在框架中的完整中间件执行流程，包括全局中间件和路由级中间件的执行顺序，帮助开发者理解请求处理链路。注册位置：`bootstrap/app.php`（别名 + API 组）与 `routes/api.php`（路由组）。
|
||
:::
|
||
|
||
## 执行流程图
|
||
|
||
```text
|
||
请求进入
|
||
│
|
||
▼
|
||
┌────────────────┐
|
||
│ProxyMiddleware │ API 组前置（最先执行）
|
||
│ │ 从代理头提取真实客户端 IP
|
||
└──────┬─────────┘
|
||
│
|
||
▼
|
||
┌──────────────┐
|
||
│ Cors │ API 组前置
|
||
│ │ 处理 OPTIONS 预检 + 跨域响应头
|
||
└──────┬───────┘
|
||
│
|
||
▼
|
||
┌──────────────┐
|
||
│ForceJson │ API 组前置
|
||
│Response │ 强制返回 JSON 响应头
|
||
└──────┬───────┘
|
||
│
|
||
▼
|
||
┌──────────────┐ 401
|
||
│Authenticate │──────────► 未认证（Token 缺失/无效/过期）
|
||
│ (auth.jwt) │ 403
|
||
│ JWT认证 │──────────► 无权限
|
||
│ 权限校验 │
|
||
└──────┬───────┘
|
||
│ 注入 userInfo（attributes）
|
||
▼
|
||
┌──────────────┐ 403
|
||
│ResolveTenant │──────────► 租户异常（禁用/过期）
|
||
│ (tenant) │
|
||
│ 租户上下文 │
|
||
└──────┬───────┘
|
||
│ 注入 tenantId / isSuperAdmin / tenantInfo
|
||
▼
|
||
┌──────────────┐ 403
|
||
│ demo │──────────► 演示模式下写操作被拦截
|
||
│ (demo 别名) │
|
||
│ 演示模式拦截 │
|
||
└──────┬───────┘
|
||
│ 放行：非演示模式 / GET / 有 #[DemoAllow]
|
||
▼
|
||
┌──────────────┐
|
||
│ LogOperation │ 记录操作日志（terminable，响应后写入）
|
||
│(log.operation)│ 写操作始终记录
|
||
└──────┬───────┘
|
||
│
|
||
▼
|
||
┌──────────────┐
|
||
│ 控制器方法 │
|
||
└──────────────┘
|
||
```
|
||
|
||
:::info 两种挂载方式
|
||
- **API 组前置**（`bootstrap/app.php` → `$middleware->api(prepend:)`）：Proxy → Cors → ForceJson，对全部 `/api` 请求生效
|
||
- **路由组**（`routes/api.php` → `Route::middleware([...])->group(...)`）：`auth.jwt` → `tenant` → `demo` → `log.operation`，仅认证接口组生效；登录、验证码、令牌刷新等公开接口定义在组外，天然免认证
|
||
:::
|
||
|
||
## 中间件职责
|
||
|
||
| 中间件 | 类型 | 职责 | 配置 |
|
||
|--------|------|------|------|
|
||
| ProxyMiddleware | API 组前置 | 代理头解析，提取真实客户端 IP | `.env` → `TRUSTED_PROXIES` |
|
||
| Cors | API 组前置 | 跨域处理（OPTIONS 预检 + 响应头） | `config/cors.php` → `CORS_ALLOW_ORIGIN` |
|
||
| ForceJsonResponse | API 组前置 | 强制 `Content-Type: application/json` | — |
|
||
| Authenticate | 路由组（别名 `auth.jwt`） | JWT 认证 + 权限校验（`#[Permission]` 注解） | `config/middleware.php` → `auth_except` |
|
||
| ResolveTenant | 路由组（别名 `tenant`） | 租户上下文注入与校验 | 超管（uid=1）跳过校验 |
|
||
| LogOperation | 路由组（别名 `log.operation`） | 操作日志记录（terminable，响应后落库） | `config/middleware.php` → `log_except` |
|
||
| DemoMiddleware | 路由组（别名 `demo`，tenant 与 log.operation 之间） | 演示模式拦截写操作（无 `#[DemoAllow]` 的写操作返回 403） | `config('app.demo_mode')` |
|
||
|
||
## 排除配置
|
||
|
||
```php
|
||
// config/middleware.php
|
||
return [
|
||
// Authenticate::handle() 命中时跳过 JWT 解析与权限校验（公开接口定义在路由组外，此为兜底）
|
||
'auth_except' => [
|
||
'login',
|
||
'captcha',
|
||
'refresh',
|
||
],
|
||
// LogOperation::handle() 命中时不写入 OperationLog
|
||
// 登录/登出由 LoginLog 单独记录
|
||
'log_except' => [
|
||
'login',
|
||
'logout',
|
||
'captcha',
|
||
],
|
||
];
|
||
```
|
||
|
||
## 注入内容
|
||
|
||
| 中间件 | 注入字段 | 读取方式 | 说明 |
|
||
|--------|---------|---------|------|
|
||
| ProxyMiddleware | `$_SERVER['REMOTE_ADDR']` | `request()->ip()` | 覆盖为真实客户端 IP |
|
||
| Authenticate | `userInfo` | `$request->attributes->get('userInfo')` | 解码后的 JWT 载荷（uid、username 等） |
|
||
| ResolveTenant | `tenantId` | `$request->attributes->get('tenantId')` | 租户 ID（0=平台用户） |
|
||
| ResolveTenant | `isSuperAdmin` | `$request->attributes->get('isSuperAdmin')` | 是否超级管理员（uid=1） |
|
||
| ResolveTenant | `tenantInfo` | `$request->attributes->get('tenantInfo')` | 非平台用户时注入租户模型实例 |
|
||
|
||
## ProxyMiddleware 详解
|
||
|
||
当项目部署在 CDN / 负载均衡 / Nginx 反向代理后面时，PHP 的 `REMOTE_ADDR` 是代理服务器的 IP（通常是 `127.0.0.1`），真实客户端 IP 由代理通过 `X-Forwarded-For` / `X-Real-IP` 请求头传递。
|
||
|
||
### 工作原理
|
||
|
||
```text
|
||
客户端(真实IP) → CDN/代理 → Nginx → PHP-FPM
|
||
↓ 设置头
|
||
X-Forwarded-For: 真实IP, 代理IP
|
||
X-Real-IP: 真实IP
|
||
```
|
||
|
||
1. 检查 `REMOTE_ADDR` 是否在受信代理列表（`.env` → `TRUSTED_PROXIES`，支持 CIDR 网段）
|
||
2. 如果是，从 `X-Real-IP` 或 `X-Forwarded-For` 头提取真实 IP
|
||
3. 覆盖 `$_SERVER['REMOTE_ADDR']`，后续 `request()->ip()` 与 `get_client_ip()` 返回真实 IP
|
||
|
||
### 配置
|
||
|
||
```ini
|
||
# .env
|
||
# 受信代理 IP（逗号分隔，支持 CIDR 网段）
|
||
# 未配置时默认信任 127.0.0.1 和 ::1
|
||
TRUSTED_PROXIES=127.0.0.1,::1,101.226.0.0/15,180.101.0.0/16
|
||
```
|