Middleware on ララジャパン

ミドルウェアをもっと知ろう（４）コントローラに装着

Sun, 25 Jan 2026 06:43:46 +0900

Laravelでは、カスタムに作成したミドルウェアをいろいろな場所で装着することができとてもフレキシブルです。前回ではグローバルやルートで装着しました。今回はLaravel 11.xバージョンから追加されたコントローラでのmiddlewareメソッドで装着してみます。

カスタムに作成したミドルウェア

前回から結構時間が経過しているので、まずそこで作成したミドルウェアのコードを持ち出します。

app/Http/Middleware/HideForbiddenWords.php

namespace App\Http\Middleware;

use Closure;
use Illuminate\Support\Str;
use Illuminate\Http\Request;

class HideForbiddenWords
{
    public static $forbiddenWords = ['禁止１', '禁止２', '禁止３'];

    public function handle(Request $request, Closure $next): mixed
    {
        // 禁止用語を***に変換
        $all = $request->collect()->map(function ($value, $key) {
            return is_string($value) ? Str::of($value)->replace(static::$forbiddenWords, '***')->toString() : $value;
        })->all();

　　　　// もとのリクエストを置き換える
        $request->merge($all);　

        return $next($request);
    }
}

このミドルウェアは、$forbiddenWords配列で設定した３つの禁止用語が入力にあれば、***に変換します。

グローバルでの装着

こちらも前回からのコピーですが、今回のようなローカルなミドルウェアには向いていないです。

bootstrap/app.php

use Illuminate\Foundation\Application;
use Illuminate\Foundation\Configuration\Exceptions;
use Illuminate\Foundation\Configuration\Middleware;

return Application::configure(basePath: dirname(__DIR__))
    ->withRouting(
        web: __DIR__.'/../routes/web.php',
        commands: __DIR__.'/../routes/console.php',
        health: '/up',
    )
    ->withMiddleware(function (Middleware $middleware) {
        $middleware->append(
            \App\Http\Middleware\HideForbiddenWords::class,
        );
    })
    ->withExceptions(function (Exceptions $exceptions) {
        //
    })->create();

ルートで装着

以下のようにルートの定義で装着するのが現実的です。特定のコントローラの特定のルートに装着できます。

use App\Http\Middleware\HideForbiddenWords;

Route::patch('/profile', [ProfileController::class, 'update'])
    ->name('profile.update')
    ->middleware(HideForbiddenWords::class);

コントローラで装着

こちら、Laravelの11.xバージョン以降では、以下のようにmiddlewareのメソッド内でも指定できます。

app/Http/Controllers/ProfileController.php

namespace App\Http\Controllers;

use App\Http\Requests\ProfileUpdateRequest;
use Illuminate\Http\RedirectResponse;
use Illuminate\Http\Request;
use Illuminate\Routing\Controllers\HasMiddleware;
use Illuminate\Support\Facades\Auth;
use Illuminate\Support\Facades\Redirect;
use Illuminate\View\View;

class ProfileController extends Controller implements HasMiddleware
{
    public static function middleware(): array
    {
        return [\App\Http\Middleware\HideForbiddenWords::class];
    }

    /**
     * Display the user's profile form.
     */
    public function edit(Request $request): View
    {
        return view('profile.edit', [
            'user' => $request->user(),
        ]);
    }

    /**
     * Update the user's profile information.
     */
    public function update(ProfileUpdateRequest $request): RedirectResponse
    {
        $request->user()->fill($request->validated());

        if ($request->user()->isDirty('email')) {
            $request->user()->email_verified_at = null;
        }

        $request->user()->save();

        return Redirect::route('profile.edit')->with('status', 'profile-updated');
    }
...

注意点として、

use Illuminate\Routing\Controllers\HasMiddleware;の宣言が必要なこと。
middlewareのメソッドは、staticであること。ゆえにその中では、$this->nameのようなインスタンス変数への使用は不可です。

を忘れずに。

ちなみに、Laravel 10.xバージョン以前では、HasMiddlewareはまだ登場していないので、以下のようにコンストラクターでコールしていました。

app/Http/Controllers/ProfileController.php

...
class ProfileController extends Controller
{
    public function __construct()
    {
        $this->middleware(\App\Http\Middleware\HideForbiddenWords::class);
    }
...
}

ミドルウェアをもっと知ろう（３）パラメータを渡す

Sat, 26 Apr 2025 09:57:48 +0900

前回に作成した禁止用語をフィルターするミドルウェアに今度はパラメータを渡してみます。例えば、管理者権限を持つユーザーなら禁止用語を隠さずに見れる。

ミドルウェアの変更はいたって簡単で、handle()のメソッドに渡す引数を１つ$role追加します。

app/Http/Middleware/HideForbiddenWords.php

namespace App\Http\Middleware;

use Closure;
use Illuminate\Support\Str;
use Illuminate\Http\Request;

class HideForbiddenWords
{
    public static $forbiddenWords = ['禁止１', '禁止２', '禁止３'];

    // $roleの引数を追加
    public function handle(Request $request, Closure $next, string $role): mixed
    {
        $all = $request->collect()->map(function ($value, $key) use($role) {
            // 管理権限なら禁止用語は隠さずに
            if ($role === 'admin') {
                return $value;
            } else {
                return is_string($value) ? Str::of($value)->replace(static::$forbiddenWords, '***')->toString() : $value;
            }
        })->all();

        $request->merge($all);

        return $next($request);
    }
}

$roleがadminなら、禁止用語は隠さずに、それ以外は隠すという条件分岐を設けています。

さっそく、tinkerで実行してみましょう。

> $request = app('request');

> $request->merge(['sentence' => '私は「禁止１」と叫んでしまいました。'])->all();
= [
    "sentence" => "私は「禁止１」と叫んでしまいました。",
  ]
 
> use App\Http\Middleware\HideForbiddenWords;

> (new HideForbiddenWords)->handle($request, fn($request) => $request, 'admin')->all();
= [
    "sentence" => "私は「禁止１」と叫んでしまいました。",
  ]

隠さずに表示されましたね。

以下のようにroutes/web.phpにおいて、ミドルウェアを装着するならコロンと合わせて指定します。

use App\Http\Middleware\HideForbiddenWords;
 
Route::patch('/profile', [ProfileController::class, 'update'])
    ->name('profile.update')
    ->middleware(HideForbiddenWords::class.':admin');

複数の権限を指定したいなら、つまり以下のように、adminとeditorの指定としたいなら、以下のようにコンマで区切って指定します。

Route::patch('/profile', [ProfileController::class, 'update'])
    ->name('profile.update')
    ->middleware(HideForbiddenWords::class.':admin,editor');

対応するミドルウェアのコード方は、以下のように引数をstring …$roles可変引数を使用するように変えて対応します。

...
class HideForbiddenWords
{
    public static $forbiddenWords = ['禁止１', '禁止２', '禁止３'];

    // $roleの引数を追加
    public function handle(Request $request, Closure $next, string ...$roles): mixed
    {
...

ミドルウェアをもっと知ろう（２）ミドルウェアを作成

Fri, 28 Mar 2025 09:56:53 +0900

前回に紹介したLaravelのグローバルミドルウェアですが、必要に応じてカスタムのミドルウェアを作成することも可能です。今回は、入力文に含まれる禁止用語を自動的に隠す（***で置換する）ミドルウェアを例として作成します。

禁止用語を隠すミドルウェア

まず、artisanで空のミドルウェアを作成して、

$ php artisan make:middleware HideForbiddenWords

そのファイルを以下のように編集します。

app/Http/Middleware/HideForbiddenWords.php

namespace App\Http\Middleware;

use Closure;
use Illuminate\Support\Str;
use Illuminate\Http\Request;

class HideForbiddenWords
{
    public static $forbiddenWords = ['禁止１', '禁止２', '禁止３'];

    public function handle(Request $request, Closure $next): mixed
    {
        // 禁止用語を***に変換
        $all = $request->collect()->map(function ($value, $key) {
            return is_string($value) ? Str::of($value)->replace(static::$forbiddenWords, '***')->toString() : $value;
        })->all();

　　　　// もとのリクエストを置き換える
        $request->merge($all);　

        return $next($request);
    }
}

$forbiddenWords配列で設定した３つの禁止用語が入力にあれば、***に変換します。

tinkerで試してみましょう。

> $request = app('request');
> $request->merge(['sentence' => '私は「禁止１」と叫んでしまいました。'])->all();
= [
    "sentence" => "私は「禁止１」と叫んでしまいました。",
  ]

> use App\Http\Middleware\HideForbiddenWords;
> (new HideForbiddenWords)->handle($request, fn($request) => $request)->all();
= [
    "sentence" => "私は「***」と叫んでしまいました。",
  ]

期待した結果になりました。

グローバルミドルウェアに追加

作成したミドルウェアをグローバルのミドルウェアとして設定するには、ブートストラップに使用されるapp.phpを編集します。以下は、Laravel 11.xで作成されたデフォルトのファイルで、ここのwithMiddlewareのクロージャでappendするだけです。

bootstrap/app.php

use Illuminate\Foundation\Application;
use Illuminate\Foundation\Configuration\Exceptions;
use Illuminate\Foundation\Configuration\Middleware;

return Application::configure(basePath: dirname(__DIR__))
    ->withRouting(
        web: __DIR__.'/../routes/web.php',
        commands: __DIR__.'/../routes/console.php',
        health: '/up',
    )
    ->withMiddleware(function (Middleware $middleware) {
        $middleware->append(
            \App\Http\Middleware\HideForbiddenWords::class,
        );
    })
    ->withExceptions(function (Exceptions $exceptions) {
        //
    })->create();

このミドルウェアは、前回に紹介したデフォルトのグローバルミドルウェア（以下）

> use Illuminate\Foundation\Configuration\Middleware;
 
> (new Middleware)->getGlobalMiddleware();
= [
    "Illuminate\Foundation\Http\Middleware\InvokeDeferredCallbacks",
    "Illuminate\Http\Middleware\TrustProxies",
    "Illuminate\Http\Middleware\HandleCors",
    "Illuminate\Foundation\Http\Middleware\PreventRequestsDuringMaintenance",
    "Illuminate\Http\Middleware\ValidatePostSize",
    "Illuminate\Foundation\Http\Middleware\TrimStrings",
    "Illuminate\Foundation\Http\Middleware\ConvertEmptyStringsToNull",
  ]

の最後のConvertEmptyStringsToNullの次に実行されることになります。

プロジェクトのコントローラのすべてにおいてこのミドルウェアが適用されるのが大げさなら、以下のようにroutes/web.phpにおいて、特定のルートだけにミドルウェアを装着することも可能です。

use App\Http\Middleware\HideForbiddenWords;

Route::patch('/profile', [ProfileController::class, 'update'])
    ->name('profile.update')
    ->middleware(HideForbiddenWords::class);

ミドルウェアをもっと知ろう（１）グローバルミドルウェア

Sun, 16 Mar 2025 03:15:23 +0900

LaravelのミドルウェアはHttpのGETやPOSTなどのリクエストでアプリに入ってくるリクエストの中身をチェックしたり必要なら変えたりする重要なコードです。このミドルウェアの設定は、L11.x以前ではapp/Http/Kernel.phpというファイルの中身に含まれていてわかりやすかったのですが、L11.x以降はLaravelのライブラリの奥に入ってしまい日の目をみなくなってしまいました。これらを引っ張りだしてLaravelのミドルウェアがどのように使用されているか紹介します。

グローバルミドルウェア

リクエストをグローバルに処理するミドルウェアは、グローバルミドルウェアと呼ばれ、tinkerでの以下の実行でデフォルトの設定を見ることができます。

> use Illuminate\Foundation\Configuration\Middleware;

> (new Middleware)->getGlobalMiddleware();
= [
    "Illuminate\Foundation\Http\Middleware\InvokeDeferredCallbacks",
    "Illuminate\Http\Middleware\TrustProxies",
    "Illuminate\Http\Middleware\HandleCors",
    "Illuminate\Foundation\Http\Middleware\PreventRequestsDuringMaintenance",
    "Illuminate\Http\Middleware\ValidatePostSize",
    "Illuminate\Foundation\Http\Middleware\TrimStrings",
    "Illuminate\Foundation\Http\Middleware\ConvertEmptyStringsToNull",
  ]

それぞれのミドルウェアのクラスは独立した役割がありますが、ここでの紹介は比較的理解しやすい最後の２つに絞ります。

TrimStrings

このミドルウェアはHttpのGETやPOSTなどのリクエストのデータに含まれる文字列の前後の空白文字を削除します。ここでの空白文字はすべていわゆる半角文字の範囲で、

空白
改行（\n）
復帰（\r）
タブ（\t）
垂直タブ（\v）
ヌル文字（\0）

が含まれます。~~日本語の全角空白文字が含まれないことに注意を。~~ （修正：2025-03-26）日本語の全角スペースも含まれます。

また、以下のユニコードも削除されます。

表示不可能な文字（\x{FEFF}）
ゼロ幅スペース（\x{200B}）
左から右へのマーク（\x{200E}）

削除されるのは文字列中でなく前後であることに注意を。

早速、tinkerで実行してみましょう。

まずは、Requestのインスタンスを作成します。 app()を使うと簡単に作成できます。

> $request = app('request');
= Illuminate\Http\Request {#207
    +attributes: Symfony\Component\HttpFoundation\ParameterBag {#208},
    +request: Symfony\Component\HttpFoundation\InputBag {#197},
    +query: Symfony\Component\HttpFoundation\InputBag {#209},
    +server: Symfony\Component\HttpFoundation\ServerBag {#93},
    +files: Symfony\Component\HttpFoundation\FileBag {#196},
    +cookies: Symfony\Component\HttpFoundation\InputBag {#204},
    +headers: Symfony\Component\HttpFoundation\HeaderBag {#100},
  }

そして、そのリクエストにユーザーの入力をシミュレートした連想配列をマージします。もちろん、nameの値の前後にしっかりと空白文字を入れてあります。

> $request->merge(['name' => '    山田太郎    '])->all();
= [
     "name" => "    山田太郎    ",
  ]

今度はこのリクエストにTrimStringsのミドルウェアを適用します。

> use Illuminate\Foundation\Http\Middleware\TrimStrings;

> (new TrimStrings)->handle($request, fn($request) => $request)->all();
= [
    "name" => "山田太郎",
  ]

前後の空白文字が削除されましたね。

handle()のパラメーターは２つ必要されます。最初はリクエストのインスタンス、次はクロージャとして次のミドルウェアを渡します。それゆえに最初に掲載したグローバルミドルウェアが順々にリクエストに処理を加えていきます。ここでは、単に、処理されたリクエストを返すクロージャを与えています。

ConverEmptyStringsToNull

ConvertEmptyStringsToNullは、先のTrimStringsの次に適用されるミドルウェアで、今度は空の文字列をnullに変換する処理を行います。

このミドルウェアをデモするために、今度は空の値のemailの連想配列をリクエストにマージします。

> $request->merge(['email' => ''])->all();

= [
    "name" => "山田太郎",
    "email" => "",
  ]

先ほどTrimpStringsのミドルウェアを適用された同じリクエストを使用しために、nameの値が残っていることに注意を。

このリクエストに対して、ConvertEmptyStringsToNullを適用します。

> use Illuminate\Foundation\Http\Middleware\ConvertEmptyStringsToNull;

> (new ConvertEmptyStringsToNull)->handle($request, fn($request) => $request)->all();
= [
    "name" => "山田太郎",
    "email" => null,
  ]

空の文字列がnullに変換されましたね。

グローバルミドルウェアをすべて適用

最後に、最初に掲載したグローバルミドルウェアをすべてリクエストに適用するコードを紹介します。

Laravelでは以下の関数で、Pipelineのクラスを使用してリクエストをそれぞれのミドルウェアを順に適用していき最後にルートとでマップしているコントローラなどへ渡してます。

vendor/laravel/framework/src/Illuminate/Foundation/Http/Kernel.php

    /**
     * Send the given request through the middleware / router.
     *
     * @param  \Illuminate\Http\Request  $request
     * @return \Illuminate\Http\Response
     */
    protected function sendRequestThroughRouter($request)
    {
        $this->app->instance('request', $request);

        Facade::clearResolvedInstance('request');

        $this->bootstrap();

        return (new Pipeline($this->app))
            ->send($request)
            ->through($this->app->shouldSkipMiddleware() ? [] : $this->middleware)
            ->then($this->dispatchToRouter());
    }

上のコードを元に、tinkerで実行できるようにしてみました。

> use Illuminate\Foundation\Configuration\Middleware;

> $middlewares = (new Middleware)->getGlobalMiddleware();

> $request = app('request')->merge(['name' => '   山田太郎   ', 'email' => '']);

> use Illuminate\Pipeline\Pipeline;

> app(Pipeline::class)->send($request)->through($middlewares)->thenReturn()->all();
= [
    "name" => "山田太郎",
    "email" => null,
  ]

コントローラのコンストラクタで引数を取り出す

Sat, 09 Feb 2019 00:00:40 +0900

以前に、Laravel 5.3　コントローラのコンストラクタの重要な変更として、コントローラで定義するメソッド間で共有するコードをコンストラクタに入れることが可能なことを説明しました。今度は同じコンストラクタ内で、コントローラのメソッドに渡される引数の取り出しかたを説明します。何を言っているかというと、まずは準備から。

準備

例として、routes/web.phpにおいて、以下のようなrouteを定義します。

...
Route::resource('product', 'ProductController');
...

これは、以下のようなURIを生成します。

+--------+-----------+-------------------------------+-----------------------+------------------------------------------------------------------------+----------------------------------------------+
| Domain | Method    | URI                           | Name                  | Action                                                                 | Middleware                                   |
+--------+-----------+-------------------------------+-----------------------+------------------------------------------------------------------------+----------------------------------------------+
|        | GET|HEAD  | product                       | product.index         | App\Http\Controllers\ProductController@index                           | web                                          |
|        | POST      | product                       | product.store         | App\Http\Controllers\ProductController@store                           | web                                          |
|        | GET|HEAD  | product/create                | product.create        | App\Http\Controllers\ProductController@create                          | web                                          |
|        | GET|HEAD  | product/{product}             | product.show          | App\Http\Controllers\ProductController@show                            | web                                          |
|        | PUT|PATCH | product/{product}             | product.update        | App\Http\Controllers\ProductController@update                          | web                                          |
|        | DELETE    | product/{product}             | product.destroy       | App\Http\Controllers\ProductController@destroy                         | web                                          |
|        | GET|HEAD  | product/{product}/edit        | product.edit          | App\Http\Controllers\ProductController@edit                            | web                                          |
+--------+-----------+-------------------------------+-----------------------+------------------------------------------------------------------------+----------------------------------------------+

そして、ProductController.phpを以下のように定義します。

namespace App\Http\Controllers;

use Illuminate\Http\Request;
use App\Models\Product;

class ProductController extends Controller
{
   /**
     * 情報画面
     *
     * @param  \App\Models\Product  $product
     * @return \Illuminate\View\View
     */
    public function show(Product $product)
    {
　　　  //
    }

   /**
     * 編集画面
     *
     * @param  \App\Models\Product  $product
     * @return \Illuminate\View\View
     */
    public function edit(Product $product)
    {
      //
    }

   /**
     * 編集保存
     *
     * @param  \Illuminate\Http\Request  $request
     * @param  \App\Models\Product  $product
     * @return \Illuminate\Http\RedirectResponse
     */
    public function update(Request $request, Product $product)
    {
      //
    }
}

コンストラクタで引数を取り出す

用意ができたところで、

例えば、

product/456

のGETのアクセスでは、id = 456に対応するProductのEloquentオブジェクトがshow()のメソッドの引数$productの値として渡されます。

そして、

product/456/edit

のGETは、id = 456に対応するProductのオブジェクトがedit()のメソッドの引数$productの値として渡されます。

さて、このid = 456のProductのオブジェクト、それぞれのメソッドの引数と渡される前に、コンストラクタで取り出すには？

namespace App\Http\Controllers;

use Illuminate\Http\Request;
use App\Models\Product;

class ProductController extends Controller
{
    public function __construct()
    {
        parent::__construct();

        $this->middleware(function ($request, $next) {

            $product = $request->product;　//id = 456のProductのオブジェクトを取得

            debug(get_class($product), $product->id);

            return $next($request);
        });
    }
...

と、middleware()の関数を使えば、その匿名関数の中で簡単に取り出せますね！

product/456

のURIにブラウザでアクセスすれば、Debugbarでは、

debug　App\Models\Product
debug 456

とデバッグ文を表示します。

product/456/edit

でも

product/456/update

でも、同じようにそれぞれのメソッドを実行する前に、引数にアクセスすることが可能となります。

ひとつここで疑うのは、Productのオブジェクトを取得するために以下のようなSQL文が、middleware()で１回、そしてさらにshow()のようなメソッドの引数でもう１回、計２回実行されることになるか、です。

select * from product where id = 456

これもDebugbarのQueryの出力で１回しか実行されていないことを確認しました。一度作成したオブジェクトを同じコントローラ内で２度作成することはなりません。

取り出して、それからどうする？

ここが大事なのですが、例えば、この商品（product）がEコマースで販売される商品とします。商品の登録や編集は、裏側の管理画面で商品の製造元の店舗がログインして行います。しかし、複数の店舗が存在するので、店舗Aが店舗Bの商品を編集できては困ります。しかし、URIには商品のIDが表示されるので、IDの数字を変えて他の店舗の商品を閲覧（公開されていない情報がある）や編集することが可能となってしまいます。それを防ぐためには、

...
    public function __construct()
    {
        parent::__construct();

        $this->middleware(function ($request, $next) {

            $product = $request->product; //id = 456のProductのオブジェクトを取得 

            $user = auth('shop')->user(); // 現在ログインしている店舗のユーザー

            if ($product->shop_id != $user->shop_id) { //この商品の店舗ではない！
               abort(404);
            }

            return $next($request);
        });
    }
...

のように設定すれば、いちいちshow()やedit()やupdate()などで、同様なコードを繰り返さずに済みプログラムの管理性が高まる、ということです。

Middleware on ララジャパン

ミドルウェアをもっと知ろう （４）コントローラに装着

カスタムに作成したミドルウェア

グローバルでの装着

ルートで装着

コントローラで装着

ミドルウェアをもっと知ろう（３）パラメータを渡す

ミドルウェアをもっと知ろう（２）ミドルウェアを作成

禁止用語を隠すミドルウェア

グローバルミドルウェアに追加

ミドルウェアをもっと知ろう（１）グローバルミドルウェア

グローバルミドルウェア

TrimStrings

ConverEmptyStringsToNull

グローバルミドルウェアをすべて適用

コントローラのコンストラクタで引数を取り出す

準備

コンストラクタで引数を取り出す

取り出して、それからどうする？

ミドルウェアをもっと知ろう（４）コントローラに装着