中间件

简介

中间件提供了一种便捷机制，用于检查和过滤进入应用的 HTTP 请求。例如，Laravel 内置了验证应用用户是否已认证的中间件。若用户未认证，中间件会将其重定向到应用的登录页；若已认证，则允许请求继续进入应用。

除认证外，还可以编写执行各种任务的中间件。例如，日志中间件可以记录进入应用的所有请求。Laravel 内置了多种中间件，包括用于认证和 CSRF 保护的中间件；不过，所有用户自定义中间件通常位于应用的 app/Http/Middleware 目录。

定义中间件

要创建新的中间件，请使用 make:middleware Artisan 命令：

php artisan make:middleware EnsureTokenIsValid

该命令会在 app/Http/Middleware 目录中放置一个新的 EnsureTokenIsValid 类。在此中间件中，仅当提供的 token 输入与指定值匹配时，才允许访问路由；否则将用户重定向回 /home URI：

<?php

namespace App\Http\Middleware;

use Closure;
use Illuminate\Http\Request;
use Symfony\Component\HttpFoundation\Response;

class EnsureTokenIsValid
{
    /**
     * Handle an incoming request.
     *
     * @param  \Closure(\Illuminate\Http\Request): (\Symfony\Component\HttpFoundation\Response)  $next
     */
    public function handle(Request $request, Closure $next): Response
    {
        if ($request->input('token') !== 'my-secret-token') {
            return redirect('/home');
        }

        return $next($request);
    }
}

可以看到，若给定的 token 与我们的密钥令牌不匹配，中间件会向客户端返回 HTTP 重定向；否则请求会继续传入应用。要将请求继续传入应用深处（让中间件「通过」），应使用 $request 调用 $next 回调。

最好把中间件想象成 HTTP 请求到达应用前必须穿过的一系列「层」。每一层都可以检查请求，甚至完全拒绝它。

INFO

所有中间件都通过 服务容器 解析，因此你可以在中间件的构造函数中类型提示所需的任何依赖。

中间件与响应

当然，中间件可以在将请求继续传入应用之前或之后执行任务。例如，下面的中间件会在应用处理请求之前执行某些任务：

<?php

namespace App\Http\Middleware;

use Closure;
use Illuminate\Http\Request;
use Symfony\Component\HttpFoundation\Response;

class BeforeMiddleware
{
    public function handle(Request $request, Closure $next): Response
    {
        // Perform action

        return $next($request);
    }
}

而下面的中间件会在应用处理请求之后执行其任务：

<?php

namespace App\Http\Middleware;

use Closure;
use Illuminate\Http\Request;
use Symfony\Component\HttpFoundation\Response;

class AfterMiddleware
{
    public function handle(Request $request, Closure $next): Response
    {
        $response = $next($request);

        // Perform action

        return $response;
    }
}

注册中间件

全局中间件

若希望中间件在应用的每个 HTTP 请求期间都运行，可以将其追加到应用 bootstrap/app.php 文件中的全局中间件栈：

use App\Http\Middleware\EnsureTokenIsValid;

->withMiddleware(function (Middleware $middleware): void {
     $middleware->append(EnsureTokenIsValid::class);
})

传给 withMiddleware 闭包的 $middleware 对象是 Illuminate\Foundation\Configuration\Middleware 的实例，负责管理分配给应用路由的中间件。append 方法会将中间件添加到全局中间件列表末尾。若希望添加到列表开头，应使用 prepend 方法。

手动管理 Laravel 的默认全局中间件

若希望手动管理 Laravel 的全局中间件栈，可将 Laravel 默认的全局中间件栈提供给 use 方法，然后再按需调整：

->withMiddleware(function (Middleware $middleware): void {
    $middleware->use([
        \Illuminate\Foundation\Http\Middleware\InvokeDeferredCallbacks::class,
        // \Illuminate\Http\Middleware\TrustHosts::class,
        \Illuminate\Http\Middleware\TrustProxies::class,
        \Illuminate\Http\Middleware\HandleCors::class,
        \Illuminate\Foundation\Http\Middleware\PreventRequestsDuringMaintenance::class,
        \Illuminate\Http\Middleware\ValidatePostSize::class,
        \Illuminate\Foundation\Http\Middleware\TrimStrings::class,
        \Illuminate\Foundation\Http\Middleware\ConvertEmptyStringsToNull::class,
    ]);
})

将中间件分配给路由

若希望将中间件分配给特定路由，可在定义路由时调用 middleware 方法：

use App\Http\Middleware\EnsureTokenIsValid;

Route::get('/profile', function () {
    // ...
})->middleware(EnsureTokenIsValid::class);

你可以通过向 middleware 方法传入中间件名称数组，为路由分配多个中间件：

Route::get('/', function () {
    // ...
})->middleware([First::class, Second::class]);

排除中间件

将中间件分配给一组路由时，有时可能需要阻止该中间件应用于组内的某条单独路由。可以使用 withoutMiddleware 方法实现：

use App\Http\Middleware\EnsureTokenIsValid;

Route::middleware([EnsureTokenIsValid::class])->group(function () {
    Route::get('/', function () {
        // ...
    });

    Route::get('/profile', function () {
        // ...
    })->withoutMiddleware([EnsureTokenIsValid::class]);
});

你也可以从一整组路由定义的 路由组 中排除给定的一组中间件：

use App\Http\Middleware\EnsureTokenIsValid;

Route::withoutMiddleware([EnsureTokenIsValid::class])->group(function () {
    Route::get('/profile', function () {
        // ...
    });
});

withoutMiddleware 方法只能移除路由中间件，不适用于 全局中间件。

中间件组

有时你可能希望将多个中间件归到同一个键下，以便更方便地分配给路由。可以在应用的 bootstrap/app.php 文件中使用 appendToGroup 方法实现：

use App\Http\Middleware\First;
use App\Http\Middleware\Second;

->withMiddleware(function (Middleware $middleware): void {
    $middleware->appendToGroup('group-name', [
        First::class,
        Second::class,
    ]);

    $middleware->prependToGroup('group-name', [
        First::class,
        Second::class,
    ]);
})

中间件组可以使用与单个中间件相同的语法分配给路由和控制器动作：

Route::get('/', function () {
    // ...
})->middleware('group-name');

Route::middleware(['group-name'])->group(function () {
    // ...
});

Laravel 的默认中间件组

Laravel 包含预定义的 web 和 api 中间件组，其中包含你可能希望应用于 Web 与 API 路由的常用中间件。请记住，Laravel 会自动将这些中间件组应用于对应的 routes/web.php 和 routes/api.php 文件：

The web Middleware Group
Illuminate\Cookie\Middleware\EncryptCookies
Illuminate\Cookie\Middleware\AddQueuedCookiesToResponse
Illuminate\Session\Middleware\StartSession
Illuminate\View\Middleware\ShareErrorsFromSession
Illuminate\Foundation\Http\Middleware\ValidateCsrfToken
Illuminate\Routing\Middleware\SubstituteBindings

The api Middleware Group
Illuminate\Routing\Middleware\SubstituteBindings

若希望向这些组追加或前置中间件，可在应用的 bootstrap/app.php 文件中使用 web 和 api 方法。web 和 api 方法是 appendToGroup 方法的便捷替代：

use App\Http\Middleware\EnsureTokenIsValid;
use App\Http\Middleware\EnsureUserIsSubscribed;

->withMiddleware(function (Middleware $middleware): void {
    $middleware->web(append: [
        EnsureUserIsSubscribed::class,
    ]);

    $middleware->api(prepend: [
        EnsureTokenIsValid::class,
    ]);
})

你甚至可以用自己的自定义中间件替换 Laravel 默认中间件组中的某一项：

use App\Http\Middleware\StartCustomSession;
use Illuminate\Session\Middleware\StartSession;

$middleware->web(replace: [
    StartSession::class => StartCustomSession::class,
]);

或者，也可以完全移除某个中间件：

$middleware->web(remove: [
    StartSession::class,
]);

手动管理 Laravel 的默认中间件组

若希望手动管理 Laravel 默认 web 和 api 中间件组中的全部中间件，可以完全重新定义这些组。下面的示例会用其默认中间件定义 web 和 api 中间件组，便于你按需自定义：

->withMiddleware(function (Middleware $middleware): void {
    $middleware->group('web', [
        \Illuminate\Cookie\Middleware\EncryptCookies::class,
        \Illuminate\Cookie\Middleware\AddQueuedCookiesToResponse::class,
        \Illuminate\Session\Middleware\StartSession::class,
        \Illuminate\View\Middleware\ShareErrorsFromSession::class,
        \Illuminate\Foundation\Http\Middleware\ValidateCsrfToken::class,
        \Illuminate\Routing\Middleware\SubstituteBindings::class,
        // \Illuminate\Session\Middleware\AuthenticateSession::class,
    ]);

    $middleware->group('api', [
        // \Laravel\Sanctum\Http\Middleware\EnsureFrontendRequestsAreStateful::class,
        // 'throttle:api',
        \Illuminate\Routing\Middleware\SubstituteBindings::class,
    ]);
})

INFO

默认情况下，bootstrap/app.php 文件会自动将 web 和 api 中间件组应用于应用对应的 routes/web.php 和 routes/api.php 文件。

中间件别名

你可以在应用的 bootstrap/app.php 文件中为中间件分配别名。中间件别名允许你为给定中间件类定义简短别名，这对类名较长的中间件尤其有用：

use App\Http\Middleware\EnsureUserIsSubscribed;

->withMiddleware(function (Middleware $middleware): void {
    $middleware->alias([
        'subscribed' => EnsureUserIsSubscribed::class
    ]);
})

在应用的 bootstrap/app.php 文件中定义中间件别名后，即可在将中间件分配给路由时使用该别名：

Route::get('/profile', function () {
    // ...
})->middleware('subscribed');

为方便起见，Laravel 的部分内置中间件默认已有别名。例如，auth 中间件是 Illuminate\Auth\Middleware\Authenticate 中间件的别名。下面是默认中间件别名列表：

Alias	Middleware
auth	Illuminate\Auth\Middleware\Authenticate
auth.basic	Illuminate\Auth\Middleware\AuthenticateWithBasicAuth
auth.session	Illuminate\Session\Middleware\AuthenticateSession
cache.headers	Illuminate\Http\Middleware\SetCacheHeaders
can	Illuminate\Auth\Middleware\Authorize
guest	Illuminate\Auth\Middleware\RedirectIfAuthenticated
password.confirm	Illuminate\Auth\Middleware\RequirePassword
precognitive	Illuminate\Foundation\Http\Middleware\HandlePrecognitiveRequests
signed	Illuminate\Routing\Middleware\ValidateSignature
subscribed	\Spark\Http\Middleware\VerifyBillableIsSubscribed
throttle	Illuminate\Routing\Middleware\ThrottleRequests or Illuminate\Routing\Middleware\ThrottleRequestsWithRedis
verified	Illuminate\Auth\Middleware\EnsureEmailIsVerified

排序中间件

偶尔，你可能需要中间件按特定顺序执行，但在分配给路由时又无法控制其顺序。在这种情况下，可以在应用的 bootstrap/app.php 文件中使用 priority 方法指定中间件优先级：

->withMiddleware(function (Middleware $middleware): void {
    $middleware->priority([
        \Illuminate\Foundation\Http\Middleware\HandlePrecognitiveRequests::class,
        \Illuminate\Cookie\Middleware\EncryptCookies::class,
        \Illuminate\Cookie\Middleware\AddQueuedCookiesToResponse::class,
        \Illuminate\Session\Middleware\StartSession::class,
        \Illuminate\View\Middleware\ShareErrorsFromSession::class,
        \Illuminate\Foundation\Http\Middleware\ValidateCsrfToken::class,
        \Laravel\Sanctum\Http\Middleware\EnsureFrontendRequestsAreStateful::class,
        \Illuminate\Routing\Middleware\ThrottleRequests::class,
        \Illuminate\Routing\Middleware\ThrottleRequestsWithRedis::class,
        \Illuminate\Routing\Middleware\SubstituteBindings::class,
        \Illuminate\Contracts\Auth\Middleware\AuthenticatesRequests::class,
        \Illuminate\Auth\Middleware\Authorize::class,
    ]);
})

中间件参数

中间件也可以接收额外参数。例如，若应用需要在执行某操作前验证已认证用户是否具有给定「角色」，可以创建一个接收角色名作为额外参数的 EnsureUserHasRole 中间件。

额外的中间件参数会在 $next 参数之后传给中间件：

<?php

namespace App\Http\Middleware;

use Closure;
use Illuminate\Http\Request;
use Symfony\Component\HttpFoundation\Response;

class EnsureUserHasRole
{
    /**
     * Handle an incoming request.
     *
     * @param  \Closure(\Illuminate\Http\Request): (\Symfony\Component\HttpFoundation\Response)  $next
     */
    public function handle(Request $request, Closure $next, string $role): Response
    {
        if (! $request->user()->hasRole($role)) {
            // Redirect...
        }

        return $next($request);
    }
}

定义路由时，可通过用 : 分隔中间件名称与参数来指定中间件参数：

use App\Http\Middleware\EnsureUserHasRole;

Route::put('/post/{id}', function (string $id) {
    // ...
})->middleware(EnsureUserHasRole::class.':editor');

多个参数可用逗号分隔：

Route::put('/post/{id}', function (string $id) {
    // ...
})->middleware(EnsureUserHasRole::class.':editor,publisher');

可终止中间件

有时，中间件可能需要在 HTTP 响应发送到浏览器之后再做一些工作。若你在中间件上定义了 terminate 方法，且 Web 服务器使用 FastCGI，则在响应发送到浏览器后会自动调用 terminate 方法：

<?php

namespace Illuminate\Session\Middleware;

use Closure;
use Illuminate\Http\Request;
use Symfony\Component\HttpFoundation\Response;

class TerminatingMiddleware
{
    /**
     * Handle an incoming request.
     *
     * @param  \Closure(\Illuminate\Http\Request): (\Symfony\Component\HttpFoundation\Response)  $next
     */
    public function handle(Request $request, Closure $next): Response
    {
        return $next($request);
    }

    /**
     * Handle tasks after the response has been sent to the browser.
     */
    public function terminate(Request $request, Response $response): void
    {
        // ...
    }
}

terminate 方法应同时接收请求和响应。定义可终止中间件后，应将其添加到应用 bootstrap/app.php 文件中的路由或全局中间件列表。

在中间件上调用 terminate 方法时，Laravel 会从 服务容器 解析一个全新的中间件实例。若希望在调用 handle 和 terminate 时使用同一个中间件实例，请使用容器的 singleton 方法将该中间件注册到容器。通常应在 AppServiceProvider 的 register 方法中完成：

use App\Http\Middleware\TerminatingMiddleware;

/**
 * Register any application services.
 */
public function register(): void
{
    $this->app->singleton(TerminatingMiddleware::class);
}