如何利用ThinkPHP实现操作日志与权限绑定，并记录详细审计跟踪？

本文共计1179个文字，预计阅读时间需要5分钟。

操作日志必须记录在请求生命周期的早期阶段，否则容易泄露权限、验证失败、路径未匹配等关键节点。中间件是唯一能够稳定覆盖所有HTTP请求入口位置的组件，控制器或模型层的记录可能会遗漏前置异常。

实操建议：

• 新建 app/middleware/OperationLogMiddleware.php，在 handle() 方法末尾写入日志，而非开头——确保能拿到最终响应状态和可能抛出的异常
• 用 $request->url(true) 获取完整请求路径，避免因路由重写导致日志路径失真
• 不要直接读取 $request->param() 记录全部参数，敏感字段（如密码、token）需白名单过滤，否则审计日志本身成风险点
• 若项目启用了多语言或区域中间件，确保日志中间件注册顺序靠后，否则 $request->lang() 等上下文可能为空

为什么不能只靠Auth类的钩子记录权限操作

ThinkPHP的 Auth 类（或新版 think-auth）只管“是否允许”，不关心“谁在什么时间、用什么参数、操作了哪个资源”。它的钩子（如 onAuthCheck）触发时机早于控制器执行，拿不到业务数据ID、操作类型（新增/删除）、甚至用户真实IP（可能被代理头干扰）。