验证PHP权限控制需五步：一、准备测试用户与角色数据；二、单元测试权限逻辑；三、HTTP请求测试路由拦截；四、前端UI权限渲染验证；五、日志记录权限拒绝行为。
如果您在开发PHP应用时需要验证用户权限是否按预期生效，则可能是由于角色与权限的绑定逻辑未正确执行或中间件未生效。以下是测试PHP权限控制的具体步骤：
一、准备测试用户与角色数据
在测试前需确保数据库中存在已分配不同角色的测试用户，且各角色关联明确的权限标识（如“admin”、“editor”、“viewer”），以便后续验证访问行为是否受控。
1、在用户表中插入一条测试记录，设置字段 role_id = 2 对应编辑角色。
2、在角色权限关联表中为该 role_id = 2 插入权限项，例如 permission_code = 'post.edit'。
立即学习“PHP免费学习笔记（深入）”；
3、确认用户登录后生成的会话中包含正确的 role 和 permissions 数组，可通过 var_dump($_SESSION['user']) 检查。
二、使用单元测试验证权限检查逻辑
通过 PHPUnit 编写测试用例，直接调用权限判断方法（如 hasPermission()），绕过HTTP层，快速验证核心逻辑是否准确。
1、创建测试类 PermissionTest.php，继承 PHPUnit\Framework\TestCase。
2、在测试方法中实例化权限服务，并传入模拟的用户角色与权限集合。
3、调用 assertTrue($service->hasPermission('post.delete')) 验证具备权限时返回 true。
4、调用 assertFalse($service->hasPermission('user.delete')) 验证无权限时返回 false。
三、模拟HTTP请求测试路由级权限拦截
构造真实请求场景，验证控制器或中间件是否在请求进入业务逻辑前成功拦截无权操作，防止越权访问发生。
1、使用 cURL 或 Guzzle 发送 GET 请求至需鉴权的接口，如 /api/posts/5，携带测试用户的有效 Token。
2、修改请求头中的 Authorization: Bearer {invalid_token}，观察是否返回 401 Unauthorized。
3、保持 Token 有效，但将用户角色改为仅具查看权限，再次请求 POST /api/posts，确认响应为 403 Forbidden。
四、前端按钮与菜单的权限渲染验证
检查视图层是否根据当前用户权限动态控制 UI 元素的显示与隐藏，避免前端误导用户触发无权操作。
1、登录编辑角色账号后访问后台首页，确认页面中出现 「编辑文章」按钮 且可点击。
2、切换为查看角色账号，刷新同一页面，验证该按钮已从 DOM 中移除或设置为 disabled="disabled"。
3、在浏览器控制台执行 console.log(window.currentUser.permissions)，核对输出数组是否包含预期权限码。
五、日志与异常捕获验证权限拒绝行为
启用权限拒绝日志记录机制，确认系统在拦截非法请求时生成可追溯的审计信息，便于定位配置疏漏或攻击尝试。
1、在权限中间件的拒绝分支中添加日志语句：error_log("Permission denied: {$permission} for user {$userId}");
2、以无权用户身份访问受限资源，随后检查 PHP 错误日志文件路径（如 /var/log/php/error.log）是否新增对应条目。
3、确认日志中包含完整的 用户ID、被拒权限码、请求URI、时间戳 四项关键字段。
