CakePHP 4未登出用户再次登录时出现授权检查错误

这个错误的核心原因是：当用户会话未过期（未登出直接关闭标签），再次访问应用时，Authentication插件识别到用户已认证，但根路由（/）未配置任何授权规则，Authorization插件会强制要求所有已认证请求必须通过授权校验，因此抛出The request to / did not apply any authorization checks.异常。

以下是几种解决方式：

1. 给根路由配置明确的授权规则 #

直接在路由中为根路径指定授权策略，比如允许所有已认证用户访问：

// src/Application.php -> routes() 方法
$routes->scope('/', function (RouteBuilder $builder) {
    $builder->connect('/', ['controller' => 'Home', 'action' => 'index'])
        // 允许已认证用户访问该路由
        ->setAuthorization(['allow' => ['authenticated']]);
});

如果使用Policy模式，也可以为对应Controller编写Policy类，指定允许已认证用户访问index方法。

2. 缩短会话过期时间 #

通过配置让会话更快失效，避免用户关闭标签后残留有效会话：

// config/app.php -> Session 配置项
'Session' => [
    'defaults' => 'php',
    'timeout' => 10, // 10分钟无操作自动过期
    'cookieTimeout' => 10,
],

这样用户关闭标签一段时间后，会话自动失效，下次访问会触发未认证流程，不会进入授权校验环节。

3. 设置全局默认授权策略 #

如果不想逐个路由配置，可以给Authorization中间件设置全局默认规则，让所有未单独配置授权的路由采用统一策略：

// src/Application.php -> middleware() 方法
$middlewareQueue->add(new AuthorizationMiddleware($this, [
    'unauthorizedHandler' => [
        'className' => 'Authorization.Redirect',
        'url' => '/login',
        'queryParam' => 'redirect',
    ],
    // 默认允许所有已认证用户访问未配置规则的路由
    'defaultPolicy' => [
        'className' => 'Authorization.AllowAuthenticated',
    ],
]));

4. 捕获异常并友好跳转 #

如果需要对该异常做自定义处理（比如跳转到登录页），可以在错误处理类中捕获MissingAuthorizationException：

// src/Error/AppError.php
use Authorization\Exception\MissingAuthorizationException;

public function render($exception)
{
    if ($exception instanceof MissingAuthorizationException) {
        return $this->redirect('/login');
    }
    return parent::render($exception);
}

内容的提问来源于stack exchange，提问作者Patrick