Laravel策略(Policy)如何控制权限_Laravel Gates与Policies实现用户授权-Laravel-PHP中文网

Laravel策略（Policy）用于控制基于模型的细粒度权限，如Post模型的编辑权。1. 使用php artisan make:policy PostPolicy --model=Post生成策略类；2. 系统自动在AuthServiceProvider中注册模型与策略映射；3. 在PostPolicy中定义update、delete等方法校验用户权限；4. 控制器中调用$this->authorize('update', $post)触发检查；5. Blade模板使用@can('update', $post)控制元素显示；6. Gates适用于全局权限（如访问后台），Policies适用于模型操作。优先使用Policy管理模型权限，Gates处理通用规则，两者结合提升安全性与代码可维护性。

laravel策略(policy)如何控制权限_laravel gates与policies实现用户授权

在Laravel中，权限控制是构建安全Web应用的重要环节。当多个用户角色需要对资源进行不同操作时，仅靠中间件无法满足细粒度控制需求。Laravel提供了Gates（门面）和Policies（策略）两种机制来实现授权。本文重点讲解Laravel策略（Policy）如何控制权限，并简要对比Gates与Policies的使用场景。

什么是Laravel策略（Policy）？

Policy 是针对特定模型或资源的类，用来组织复杂的授权逻辑。比如，你有一个 Post 模型，希望只有作者才能编辑或删除自己的文章，这时就可以为 Post 创建一个 PostPolicy 类，将所有与文章相关的权限判断集中管理。

Policy 的核心优势在于：将授权逻辑从控制器中解耦，提升代码可读性和可维护性。

创建并注册Policy

Laravel 提供 Artisan 命令快速生成 Policy：

php artisan make:policy PostPolicy --model=Post

该命令会生成 app/Policies/PostPolicy.php 文件，并自动在 AuthServiceProvider 中注册模型与策略的映射关系：

// app/Providers/AuthServiceProvider.php

protected $policies = [
    Post::class => PostPolicy::class,
];

注册后，Laravel 会自动在检查 Post 相关权限时调用对应的 Policy 方法。

定义Policy方法并使用

在 PostPolicy 中可以定义多个方法，例如：

class PostPolicy
{
    public function update(User $user, Post $post)
    {
        return $user->id === $post->user_id;
    }

    public function delete(User $user, Post $post)
    {
        return $user->id === $post->user_id;
    }
}

在控制器中使用策略：

Laravel Cloud

Laravel Cloud（cloud.laravel.com）。此技能用于处理所有 Laravel Cloud 请求，包括搜索和读取数据。只要任务涉及 Laravel Cloud，即使用此技能。

下载

public function edit(Post $post)
{
    $this->authorize('update', $post);

    return view('posts.edit', compact('post'));
}

$this->authorize() 会自动调用对应策略的 update 方法。如果返回 false，会抛出 AuthorizationException，通常跳转到 403 页面。

也可以在 Blade 模板中使用：

@can('update', $post)
    <a href="/posts/%7B%7B%20%24post->id%20%7D%7D/edit">编辑</a>
@endcan

Gates 与 Policies 如何选择？

Gates 更适合全局、非模型相关的权限判断，比如“是否能访问后台”：

Gate::define('access-admin', function (User $user) {
    return $user->hasRole('admin');
});

// 使用
@if(Gate::allows('access-admin'))
    <a href="/admin">进入后台</a>
@endif

Policies 更适合基于模型的操作控制，如文章的增删改查。它结构清晰，易于维护。

总结：