能否创建含Guzzle请求的Laravel全局路由中间件做角色校验？

你完全可以创建全局生效的Laravel中间件承载角色校验流程，但把Guzzle远程请求直接硬塞在全局中间件逻辑里的实现，从性能、维护性、稳定性角度都算不上好方案，几个硬伤很明显：

• 全局中间件会拦截所有进入应用的请求，包括根本不需要鉴权的公开路由（比如登录接口、服务健康检查），如果不做短路判断，这类请求也会触发一次没必要的跨网络Guzzle调用，平白给接口增加延迟
• 跨进程的Guzzle网络请求，和Laravel原生内存级的权限校验相比，会多出几百毫秒甚至秒级的网络开销，还要额外处理超时、服务宕机、重试等异常逻辑，长期维护成本很高
• 全局中间件如果不注意注册顺序，很容易跑在Passport认证逻辑前面，这时候根本拿不到已登录的用户实例，角色校验直接因为空对象报错失效

优先用原生内存校验，别搞没必要的Guzzle调用 #

你的API已经基于Laravel/Passport实现了认证流程，请求通过Passport校验后，容器里就已经注入了已认证的$user实例，这时候根本没必要发远程请求做校验——spatie/laravel-permission本来就是和Laravel Eloquent深度绑定的扩展，直接在中间件里调用$user->hasRole('xxx')、$user->checkPermissionTo('xxx')这类方法，就能直接完成角色校验，整个过程没有跨网络开销，性能和稳定性比远程Guzzle请求好太多。

别盲目把校验中间件设为全局生效 #

就算你确实需要发Guzzle请求做跨服务校验，也不要把校验中间件注册成无差别拦截所有请求的全局中间件，正确的挂载方式是：

• 把中间件注册为路由级中间件别名，和Passport的auth:api认证中间件搭配使用，挂载在所有需要鉴权的路由组上，比如定义路由时直接用Route::middleware(['auth:api', 'check.user.role'])->group(...)
• 这种用法只会拦截需要鉴权的接口，不会给公开路由增加额外的性能损耗，同时也能保证中间件运行在Passport认证逻辑之后，能正常拿到已登录的用户实例

真要跨服务Guzzle调用的优化方案 #

如果你的角色数据单独部署在独立的权限服务上，必须通过Guzzle请求完成校验，可以在不改动现有架构的前提下做几个优化，把性能影响压到最低：

• 给Guzzle校验结果加短周期的本地缓存（比如用Redis存储用户的角色校验结果，设置10s~30s的过期时间），同一个用户的重复请求直接读取缓存结果，减少没必要的网络调用
• 给Guzzle客户端配置合理的超时、快速失败规则，别让权限服务出问题的时候直接把当前API的可用性拖垮
• 在中间件最开头加明确的短路判断逻辑，对公开路由、没带有效Passport Token的请求直接跳过校验流程，不触发Guzzle请求

• 一定要确认中间件的执行顺序在Passport认证中间件之后，不然拿不到用户实例，校验逻辑会完全失效
• 别在全局中间件里写死角色校验规则不加前置判断，不然会对未登录的公开请求抛出空对象错误

内容的提问来源于stack exchange，提问作者Quinten van den Herik