PHP中间件拦截HTTP请求需在路由分发前执行预处理逻辑并终止流程；裸PHP须手动控制入口（如index.php），框架中需正确注册（如Laravel的$middlewareGroups['api']）且handle()中不调用$next($request)才能真正拦截。
PHP中间件怎么拦截 HTTP 请求（不是 CLI）
PHP 本身没有原生中间件概念，所谓“中间件拦截”，实际依赖框架（如 Laravel、Slim、Symfony）或手动在入口层（public/index.php）做请求预处理。直接在裸 PHP 中写“中间件”必须自己控制执行流——核心是**在路由分发前插入逻辑，并决定是否继续向下执行**。
常见错误：把 include 一个校验文件当成中间件；没 return 或 exit 导致后续逻辑仍执行；混淆了「拦截」和「重定向」——拦截成功应终止响应，而非跳转。
- 必须在所有路由匹配和控制器调用之前运行
- 推荐统一入口：所有请求经由
index.php，在此处加载中间件链 - 用函数返回
false或直接exit/http_response_code(403)终止流程，不要只 echo 提示 - Laravel 的
app/Http/Middleware下类需在Kernel.php中注册，否则不生效
Laravel 中间件如何真正阻止服务调用
很多人写了中间件但发现接口仍被调用，问题往往出在注册位置或闭包写法。Laravel 的中间件只有绑定到具体路由（或路由组）才会触发，全局中间件（$middleware）默认不包含 API 路由——因为 api 中间件组默认使用 throttle:api 和 bindings，不自动包含 web 中的中间件。
- API 请求要拦截，必须显式加到
app/Http/Kernel.php的$middlewareGroups['api']里 - 中间件
handle()方法中，不调用$next($request)就不会进入后续逻辑——这是拦截的关键动作 - 别在
handle()里用redirect()拦截 API 请求：前端拿不到 403，应返回 JSON + 状态码，例如：return response()->json(['error' => 'Forbidden'], 403); - 注意中间件顺序：鉴权中间件必须在参数验证中间件之前，否则非法用户可能绕过检查直接触发服务逻辑
用 PSR-15 标准手写轻量中间件（兼容 Slim/FastRoute）
如果你不用 Laravel，又想保持可移植性，PSR-15 是最稳妥的选择。它定义了 process() 方法签名，支持堆叠调用，且多数现代微框架原生支持。
立即学习“PHP免费学习笔记（深入）”；
一个真实可用的权限拦截中间件示例：
class ApiTokenMiddleware implements MiddlewareInterface
{
public function process(ServerRequestInterface $request, RequestHandlerInterface $handler): ResponseInterface
{
$token = $request->getHeaderLine('X-Api-Token');
if (empty($token) || ! hash_equals('expected_token', $token)) {
return new JsonResponse(['error' => 'Unauthorized'], 401);
}
return $handler->handle($request); // 放行才调用 handler
}
}
- 关键点：只在合法时调用
$handler->handle($request)，否则直接返回响应 - 别用
$_SERVER或getallheaders()——PSR-7/15 要求通过$request对象取值 - Slim v4 默认支持 PSR-15，注册方式为
$app->add(new ApiTokenMiddleware()); - FastRoute 需配合中间件调度器（如
relayphp/relay），不能直接塞进dispatch()
为什么 var_dump 后接口还在执行？——调试中间件的陷阱
中间件里加 var_dump('here') 看似有输出，但接口依然返回数据，说明你没真正中断流程。根本原因是：PHP 输出缓冲（output buffering）让 var_dump 写入了 buffer，但后续响应仍会覆盖或追加。
- 调试时优先用
error_log('msg')写日志，避免干扰响应体 - 用
die('blocked')或exit(0)测试是否真拦截成功（上线必须换回 proper response） - 检查 web 服务器配置：Nginx 的
try_files可能绕过 PHP 入口，导致中间件完全不执行 - CLI 调用（如队列任务、命令行脚本）永远不会经过 HTTP 中间件——那是另一套生命周期，别混用
中间件是否生效，最终只看两点：响应状态码是否符合预期、服务层代码是否真的没被执行。其他都是干扰项。
